Dossiers de sécurité et playbooks (SOAR)

Événements de sécurité transforme en dossiers ce que trouvent vos règles de détection, votre renseignement sur les menaces et vos produits de sécurité connectés : un dossier pour chaque élément qui mérite d'être examiné, dans lequel sont regroupées toutes les détections qui concernent le même utilisateur, le même hôte ou la même adresse. Les analystes traitent les dossiers dans une file d'attente, et les playbooks y répondent, d'eux-mêmes ou en un clic.

Fonctionnement#

Ouvrez Produits → Événements de sécurité → Dossiers de sécurité → Dossiers ouverts pour la file d'attente. Attribués à moi, Non attribué, Dossiers fermés et Tous les dossiers sont des pages à part à côté, chacune listant les dossiers que son nom indique.

Avant de commencer#

Les droits sur les dossiers et les playbooks dépendent des trois rôles de sécurité. Project Owner et Project Admin peuvent tout faire.

Chacune de ces actions peut aussi être accordée isolément, de la création d'un dossier à l'approbation des étapes d'un playbook ; voir Référence des autorisations.

Origine des dossiers#

Chaque source est activée par défaut. Une connexion ouvre des dossiers pour Élevé et au-dessus, sauf si vous choisissez un autre niveau ; les alertes de niveau inférieur sont tout de même importées comme événements.

Comment les détections sont regroupées#

Une détection porte sur une entité : la valeur selon laquelle sa règle regroupe, comme l'adresse IP d'une règle de force brute, ou l'indicateur que nomme une correspondance de renseignement sur les menaces. Une détection sans entité reste isolée.

• Quand un dossier ouvert porte déjà sur cette entité, la détection s'y ajoute. Les entités et le mappage ATT&CK du dossier s'enrichissent, et sa priorité monte à celle de la détection, sans jamais baisser.
• Quand aucun dossier ouvert ne porte sur elle, un nouveau dossier s'ouvre, nommé d'après la détection, avec la priorité de la détection.
• Une détection qui se déclenche de nouveau incrémente le compteur de sa ligne au lieu d'en ajouter une nouvelle.

La priorité d'un dossier découle de la gravité de la détection :

Traiter un dossier#

Un dossier passe par quatre statuts. Il peut en sauter un, comme un faux positif fermé directement depuis Nouveau, et il peut être rouvert.

La page du dossier réunit tout ce qu'il faut pour le traiter :

• En haut : Assign to Me, Run Playbook, Déclarer un incident et Close Case, les étapes de statut, et la priorité, dans le menu à côté.
• Status200 AI : ce que Status200 AI a tiré du dossier, la priorité et le playbook qu'il propose, et les preuves derrière. Voir Status200 AI dans la sécurité.
• Détections : ce qui s'est déclenché pour ouvrir le dossier ou s'y ajouter, combien de fois, et le dernier événement correspondant.
• Entités : les utilisateurs, hôtes et adresses sur lesquels porte le dossier, avec leur activité dans l'ensemble de vos événements de sécurité des 7 derniers jours. Chacun s'ouvre dans Corréler.
• MITRE ATT&CK : les tactiques et techniques auxquelles se rattachent ses détections, chacune liée à sa page sur attack.mitre.org.
• Exécutions de playbooks : ce que chaque playbook a fait sur le dossier, étape par étape, et les étapes en attente d'approbation.
• Notes et Chronologie : ce que l'équipe a écrit, et tout ce qui s'est passé, avec son auteur.

Pour traiter plusieurs dossiers à la fois, sélectionnez-les dans la file d'attente et utilisez Assign to Me, Change Status ou Change Priority.

Fermer un dossier#

Close Case demande un verdict et une note de clôture facultative :

Les verdicts sont comptabilisés sur la vue d'ensemble. Une règle dont les dossiers se ferment sans cesse en faux positif est une règle à ajuster.

Un dossier ouvert à partir d'alertes Google SecOps les ferme aussi dans Google SecOps, avec le verdict et la note de clôture, quand sa connexion a Fermer les alertes quand leur dossier est fermé activé : voir Google SecOps.

Déclarer un incident#

Déclarer un incident ouvre un incident Status200 pour le dossier, avec la gravité de votre choix, et les relie dans les deux sens : la description de l'incident nomme le dossier, et l'en-tête du dossier renvoie vers l'incident. L'astreinte, les pages de statut et le post-mortem prennent ensuite le relais. Il faut un rôle qui puisse à la fois traiter des dossiers et créer des incidents.

Notifications#

Status200 prévient les personnes concernées de trois choses sur un dossier. Personne n'a rien à configurer : un projet qui a seulement cliqué sur Activer les recommandations est prévenu de ses dossiers de priorité Élevé et Critique par e-mail et par push.

• Seules les personnes qui peuvent voir le dossier en sont prévenues : Project Owner, Project Admin, et les rôles Security Admin, Security Member et Security Viewer. Un rôle limité à certaines étiquettes n'est prévenu que des dossiers qui portent ces étiquettes.
• Personne n'est prévenu de ce qu'il a fait lui-même : la personne qui ouvre un dossier à la main, l'attribue ou lance une exécution n'en reçoit pas de notification.
• Chaque personne n'est prévenue qu'une fois d'un dossier. Un dossier qui s'ouvre en Medium puis monte à Critique atteint, quand il monte, les personnes qui ont choisi Élevé et Critique ou Critique uniquement, mais pas de nouveau celles qui ont choisi Moyen et au-dessus, déjà prévenues à son ouverture.
• L'attaque de test lancée avec Envoyer une attaque de test ouvre un dossier qui ne prévient personne.
• Un dossier Critique et une étape en attente d'approbation sont envoyés aussitôt, jamais retenus dans un récapitulatif par e-mail.
• La Chronologie du dossier indique qui a été prévenu, et quand.

Choisir ce dont vous êtes prévenu#

Chaque personne choisit pour elle-même, dans Paramètres utilisateur → Paramètres de notification → Sécurité : les canaux de chaque notification (e-mail, SMS, appel, push, Telegram, Slack, Microsoft Teams ou webhook), et, sous Nouveau dossier de sécurité, la priorité à partir de laquelle elle est prévenue :

Aucun message WhatsApp n'est envoyé pour les dossiers de sécurité. Une notification push ouvre l'application Status200, et son lien ouvre le dossier dans le navigateur.

Publier dans des canaux Slack et Microsoft Teams#

Pour publier dans un canal, ajoutez une règle sous Produits → Événements de sécurité → Espace de travail → Slack (ou Microsoft Teams). Quand ni l'un ni l'autre n'est connecté, la seule entrée de la section est Connecter Slack ou Teams. Une règle nomme les canaux où publier (et, dans Microsoft Teams, les conversations) et, si vous le souhaitez, les dossiers qu'elle concerne :

Les trois notifications sont chacune publiées dans les canaux de toutes les règles auxquelles le dossier correspond à ce moment-là. Une règle où Priorité du dossier de sécurité contient l'une des valeurs Critique et Élevé publie les dossiers Élevé et Critique dès leur ouverture, et un dossier Medium quand il monte à Élevé. Un dossier de sécurité n'a jamais de canal à lui.

Playbooks#

Un playbook est une liste d'étapes qui s'exécutent sur un dossier. Créez-en un sous Produits → Événements de sécurité → Playbooks, à partir d'un modèle ou de zéro, et ajoutez ses étapes sur sa page.

Quand un playbook s'exécute#

Tout playbook activé peut aussi être lancé à la main, avec Run Playbook sur un dossier. Un playbook qui s'exécute de lui-même peut être restreint :

• For Cases At Least : seulement les dossiers de cette priorité ou d'une priorité supérieure.
• Only For Detections From : seulement quand la détection à l'origine du dossier vient de cette source.
• Only For These Detection Rules : seulement quand elle vient de l'une de ces règles.

Un playbook désactivé ne s'exécute ni de lui-même ni à la main.

Étapes#

Un playbook compte au plus 25 étapes. Elles s'exécutent dans l'ordre, chacune une fois la précédente terminée. Chaque étape peut aussi :

• Needs Approval : arrêter l'exécution avant l'étape jusqu'à ce que quelqu'un l'approuve sur le dossier. Les quatre étapes qui coupent l'accès à quelqu'un s'arrêtent toujours ainsi, sauf si un Security Admin désactive ce réglage.
• Only If Threat Intel Matched : sauter l'étape, sauf si une étape Check entities against threat intel antérieure de la même exécution a trouvé un indicateur connu.
• Carry On If It Fails : exécuter l'étape suivante même si celle-ci échoue. Sans ce réglage, une étape en échec arrête l'exécution.

Confinement#

Les étapes de confinement agissent via une connexion d'événements de sécurité au produit, et cette connexion a besoin de plus qu'un accès en lecture :

Une étape de confinement n'agit que sur les utilisateurs ou hôtes sur lesquels porte le dossier, jamais sur tous ceux que le dossier nomme :

• La valeur selon laquelle une détection du dossier est regroupée, comme le compte selon lequel regroupe une règle de voyage impossible, ou l'hôte que nomme l'alerte d'un produit connecté.
• Un utilisateur ou un hôte du dossier que votre renseignement sur les menaces connaît comme indicateur.

Un dossier regroupé selon une adresse, comme une attaque par force brute contre votre VPN, ne porte sur aucun des deux : ses étapes de confinement sont sautées, et le compte qu'elle visait et la passerelle qu'elle a atteinte ne sont pas touchés. Une étape agit sur au plus 10 utilisateurs ou hôtes. Elle retrouve chacun dans le produit par son nom, et indique sur l'exécution ce qu'elle a fait de chacun : fait, déjà fait, introuvable, refusé ou protégé.

Entités protégées#

Protected Entities, sous Playbooks dans le menu, liste les utilisateurs et les hôtes qu'aucun playbook ne confine, comme les comptes d'accès d'urgence, les contrôleurs de domaine et les passerelles VPN. Une valeur correspond quelle que soit sa casse, et * remplace n'importe quelle suite de caractères : svc-* protège tous les comptes de service. Une étape signale un utilisateur ou un hôte protégé comme protégé et n'y touche pas. Ce sont les Security Admins qui gèrent la liste.

Approbation#

Les quatre étapes qui coupent l'accès à quelqu'un attendent une approbation. Seul un Security Admin peut désactiver Needs Approval pour l'une d'elles, et Status200 enregistre qui l'a fait. L'approbation liste sous Act On les utilisateurs ou hôtes sur lesquels l'étape agirait, tous cochés : décochez ceux qu'elle doit épargner. Ceux qui sont protégés ne sont pas proposés. La personne qui a lancé une exécution ne peut pas en approuver les étapes : quelqu'un d'autre le fait, mais elle peut toujours les rejeter.

Annulation#

Les étapes d'annulation agissent sur les utilisateurs ou hôtes sur lesquels porte le dossier, comme les étapes qu'elles annulent. Une fois l'exécution arrêtée, un utilisateur ou un hôte confiné a aussi son propre bouton sur son étape : Unsuspend, Lift Containment ou Libérer. La fin d'une session Okta ne peut pas être annulée. Chaque annulation est conservée dans la chronologie du dossier et dans le journal d'audit du projet.

Messages#

Une note, un e-mail, une publication Slack et une publication Teams peuvent utiliser les valeurs du dossier :

Un e-mail ou une publication sans message propre envoie un résumé du dossier.

Exécutions et approbations#

Chaque exécution est listée, étape par étape, sur son dossier et sous Produits → Événements de sécurité → Playbooks → Exécutions de playbooks :

Une étape en attente d'approbation affiche Approve et Reject sur l'exécution, avec un commentaire facultatif. Approuver poursuit l'exécution à partir de cette étape ; rejeter y met fin. La décision, son auteur et son commentaire sont conservés sur l'étape, dans la chronologie du dossier et dans le journal d'audit du projet. En attente d'approbation, sous Playbooks dans le menu, liste les exécutions qui attendent une décision et les compte ; Exécutions de playbooks liste toutes les exécutions.

Une exécution dont le worker ne donne plus signe de vie, après un redémarrage par exemple, est reprise : une exécution en file d'attente est remise en file au bout de 2 minutes, et une exécution restée muette pendant 30 minutes passe en échec.

La vue d'ensemble#

Le produit s'ouvre sur Produits → Événements de sécurité → Vue d'ensemble :

• Les dossiers ouverts qui vous sont assignés, les dossiers ouverts que personne n'a encore pris en charge, et les étapes de playbook en attente d'approbation, chacun ouvrant la page qui les liste.
• Temps moyen de prise en charge, Temps moyen de confinement et Temps moyen de clôture, sur les dossiers ouverts au cours des 30 derniers jours : de l'ouverture d'un dossier à sa prise en charge (assignation à une personne, ou sortie du statut Nouveau), à son passage à Confiné, et à sa fermeture. Un dossier encore en attente n'est pas compté dans une moyenne.
• Les dossiers ouverts chaque jour sur 30 jours, par priorité, et les détections levées chaque jour sur 14 jours, par source.
• Les dossiers ouverts par priorité et par statut, les verdicts des 30 derniers jours, les tactiques ATT&CK à l'origine des dossiers, les détections qui se sont le plus déclenchées, et les entités nommées par le plus de constats.

Au-dessus, un bandeau montre comment la sécurité est mise en place : ses sources, ses détections, ses dossiers et ses playbooks, chacun avec ses chiffres. Un projet qui ne l'a pas encore mise en place y voit Activer les recommandations et Envoyer une attaque de test ; voir Bien démarrer avec la sécurité. Quand rien n'attend personne, la page affiche Tout est calme, et les graphiques apparaissent dès qu'il y a quelque chose à représenter.

Trouver des menaces#

• Entités classe les utilisateurs, hôtes, adresses et hachages que vos constats nomment le plus, sur le dernier jour, la dernière semaine ou le dernier mois, et recherche n'importe quelle valeur dans 30 jours d'événements.
• Rule Library propose des règles de détection prêtes à l'emploi, pour les menaces visant les identités, les terminaux, le cloud, le réseau, le web et Kubernetes. Chacune est une règle Sigma écrite pour les champs vers lesquels chaque source connectée est normalisée. Ajouter une règle la crée comme l'une de vos règles de détection, activée et ouvrant des dossiers plutôt que des alertes ; modifiez-la sous Règles de détection comme n'importe quelle autre. Les règles marquées Recommandés trouvent des menaces dans des données que Status200 a déjà, et un bouton ajoute celles que vous n'avez pas encore.
• ATT&CK Coverage dessine la matrice MITRE ATT&CK en mettant en évidence les techniques que couvrent vos règles activées, et entoure celles qu'une règle de la bibliothèque couvrirait.

Automatiser#

• Flux de travail : un dossier ou une note peut lancer un flux de travail quand il est créé, mis à jour ou supprimé. Une étape Run a workflow lance un flux de travail dont le déclencheur est un webhook.
• API : les dossiers, les notes, les détections, les playbooks, les exécutions et les entités protégées ont la même API REST que le reste de Status200, sous /security-case, /security-case-note, /security-detection, /security-playbook, /security-playbook-run et /security-protected-entity. Voir Référence de l'API.
• Agents IA : le serveur MCP dispose d'outils pour les dossiers, les notes, les détections et les playbooks. Voir Serveur MCP.

Dépannage#

Étapes suivantes#