Beveiligingszaken en playbooks (SOAR)

Security Events maakt zaken van wat je detectieregels, je threat intelligence en je gekoppelde beveiligingsproducten vinden: één zaak voor alles wat het onderzoeken waard is, waarin elke detectie over dezelfde gebruiker, dezelfde host of hetzelfde adres wordt gebundeld. Analisten handelen de zaken af in een wachtrij, en playbooks reageren erop, vanzelf of met één klik.

Hoe het werkt#

Open Producten → Security Events → Beveiligingszaken → Open zaken voor de wachtrij. Aan mij toegewezen, Niet toegewezen, Gesloten zaken en Alle zaken zijn eigen pagina's ernaast, die elk de zaken tonen die hun naam zegt.

Voordat je begint#

Zaken en playbooks volgen de drie Security-rollen. Project Owner en Project Admin kunnen alles.

Elk van deze rechten kan ook afzonderlijk worden toegekend, van het aanmaken van een zaak tot het goedkeuren van de stappen van een playbook; zie Machtigingsreferentie.

Waar zaken vandaan komen#

Elke bron staat standaard aan. Een verbinding opent zaken voor Hoog en hoger, tenzij je een ander niveau kiest; de waarschuwingen daaronder worden nog steeds als gebeurtenissen geïmporteerd.

Hoe detecties worden gegroepeerd#

Een detectie gaat over een entiteit: de waarde waarop haar regel groepeert, zoals het IP-adres bij een brute-forceregel, of de indicator die een threat-intelmatch noemt. Een detectie zonder entiteit staat op zichzelf.

• Is er al een open zaak over die entiteit, dan wordt de detectie eraan toegevoegd. De entiteiten en de ATT&CK-mapping van de zaak groeien, en haar prioriteit stijgt naar die van de detectie, maar daalt nooit.
• Is er geen, dan wordt er een nieuwe zaak geopend, vernoemd naar de detectie en met de prioriteit van de detectie.
• Een detectie die opnieuw afgaat, telt op in haar rij in plaats van er een toe te voegen.

De prioriteit van een zaak volgt uit de ernst van de detectie:

Een zaak afhandelen#

Een zaak doorloopt vier statussen. Ze kan er een overslaan, bijvoorbeeld een false positive die rechtstreeks vanuit Nieuw wordt gesloten, en ze kan worden heropend.

De pagina van de zaak heeft alles om haar af te handelen:

• Bovenaan: Assign to Me, Run Playbook, Incident melden en Close Case, de statusstappen, en de prioriteit onder het menu ernaast.
• Status200 AI: wat Status200 AI van de zaak maakt, de prioriteit en het playbook die het voorstelt, en het bewijs erachter. Zie Status200 AI in beveiliging.
• Detections: wat afging en zo de zaak opende of eraan werd toegevoegd, hoe vaak, en de laatste overeenkomende gebeurtenis.
• Entiteiten: de gebruikers, hosts en adressen waar de zaak over gaat, met hun activiteit in al je beveiligingsgebeurtenissen van de afgelopen 7 dagen. Elk ervan opent in Correleren.
• MITRE ATT&CK: de tactieken en technieken waarop haar detecties zijn gemapt, elk gelinkt aan de bijbehorende pagina op attack.mitre.org.
• Playbook-uitvoeringen: wat elk playbook met de zaak deed, stap voor stap, en de stappen die op goedkeuring wachten.
• Notities en Tijdlijn: wat het team schreef, en alles wat er gebeurde, met wie het deed.

Om meerdere zaken tegelijk af te handelen, selecteer je ze in de wachtrij en gebruik je Assign to Me, Change Status of Change Priority.

Een zaak sluiten#

Close Case vraagt om een oordeel en een optionele afsluitende notitie:

De oordelen worden geteld in het overzicht. Een regel waarvan de zaken steeds als False Positive worden gesloten, is een regel om bij te stellen.

Een zaak die uit Google SecOps-waarschuwingen is geopend, sluit die ook in Google SecOps, met het oordeel en de sluitnotitie, wanneer bij de verbinding Waarschuwingen sluiten wanneer hun zaak sluit aan staat: zie Google SecOps.

Een incident melden#

Incident melden opent een Status200-incident voor de zaak, met de ernst die je kiest, en koppelt de twee in beide richtingen: de beschrijving van het incident noemt de zaak, en de kop van de zaak linkt naar het incident. On-call, statuspagina's en de postmortem nemen het vanaf daar over. Daarvoor is een rol nodig die zowel zaken mag afhandelen als incidenten mag aanmaken.

Meldingen#

Status200 brengt mensen op de hoogte van drie dingen op een zaak. Niemand hoeft iets in te stellen: een project dat alleen op Aanbevolen inschakelen heeft geklikt, hoort per e-mail en push over zijn zaken met prioriteit High en Kritiek.

• Alleen mensen die de zaak kunnen zien, horen erover: Project Owners, Project Admins en de rollen Security Admin, Security Member en Security Viewer. Een rol die tot bepaalde labels is beperkt, hoort alleen over de zaken met die labels.
• Niemand hoort over wat hij zelf deed: wie een zaak met de hand opent, haar toewijst of een uitvoering start, krijgt daar geen melding van.
• Ieder hoort één keer over een zaak. Een zaak die op Medium wordt geopend en later naar Kritiek stijgt, bereikt bij die stijging de mensen die High of Kritiek kozen, en niet opnieuw de mensen die Medium kozen, want die hoorden erover toen ze werd geopend.
• De testaanval van Testaanval sturen opent een zaak die niemand een melding geeft.
• Een zaak met Kritiek en een stap die op goedkeuring wacht, worden meteen verstuurd en nooit vastgehouden in een e-mailbundeling.
• De Tijdlijn van de zaak laat zien wie het hoorde, en wanneer.

Kiezen wat je hoort#

Ieder kiest dat voor zichzelf, onder Gebruikersinstellingen → Meldingsinstellingen → Beveiliging: de kanalen voor elke melding (e-mail, sms, oproep, push, Telegram, Slack, Microsoft Teams of webhook), en onder Nieuwe beveiligingszaak de prioriteit die hem een melding geeft:

Voor beveiligingszaken worden geen WhatsApp-berichten verstuurd. Een pushmelding opent de Status200-app, en de link erin opent de zaak in de browser.

Plaatsen in kanalen van Slack en Microsoft Teams#

Om in een kanaal te plaatsen, voeg je een regel toe onder Producten → Security Events → Werkruimte → Slack (of Microsoft Teams). Is geen van beide gekoppeld, dan is de enige vermelding in dat onderdeel Slack of Teams koppelen. Een regel noemt de kanalen waarin hij plaatst (en, in Microsoft Teams, de chats) en, als je wilt, de zaken waarvoor hij geldt:

De drie meldingen worden elk geplaatst in de kanalen van elke regel waaraan de zaak op dat moment voldoet. Een regel waarin Prioriteit van beveiligingszaak een van Kritiek en High bevat, plaatst zaken met High en Kritiek zodra ze worden geopend, en een zaak met Medium wanneer die naar High stijgt. Een beveiligingszaak krijgt nooit een eigen kanaal.

Playbooks#

Een playbook is een lijst met stappen die op een zaak draaien. Maak er een aan onder Producten → Security Events → Playbooks, vanuit een sjabloon of leeg, en voeg de stappen toe op de pagina ervan.

Wanneer een playbook draait#

Elk ingeschakeld playbook kan ook met de hand worden uitgevoerd, met Run Playbook op een zaak. Een playbook dat vanzelf draait, kun je beperken:

• For Cases At Least: alleen zaken met deze prioriteit of hoger.
• Only For Detections From: alleen wanneer de detectie achter de zaak uit deze bron komt.
• Only For These Detection Rules: alleen wanneer ze uit een van deze regels komt.

Een uitgeschakeld playbook draait niet vanzelf en ook niet met de hand.

Stappen#

Een playbook heeft hoogstens 25 stappen. Ze draaien op volgorde, elk zodra de vorige klaar is. Elke stap kan ook:

• Needs Approval: de uitvoering vóór de stap stilzetten totdat iemand hem op de zaak goedkeurt. De vier stappen die iemand de toegang ontnemen, zetten de uitvoering altijd stil, tenzij een Security Admin dit uitzet.
• Only If Threat Intel Matched: de stap overslaan, tenzij een eerdere stap Check entities against threat intel van dezelfde uitvoering een bekende indicator vond.
• Carry On If It Fails: de volgende stap uitvoeren, ook als deze mislukt. Staat dit uit, dan stopt een mislukte stap de uitvoering.

Inperking#

De inperkingsstappen werken via een verbinding voor beveiligingsgebeurtenissen met het product, die daarvoor meer dan leestoegang nodig heeft:

Een inperkingsstap werkt alleen op de gebruikers of hosts waar de zaak over gaat, nooit op alle gebruikers en hosts die ze noemt:

• De waarde waarop een detectie van de zaak is gegroepeerd, zoals het account waarop een regel voor onmogelijke reizen groepeert, of de host die de waarschuwing van een gekoppeld product noemt.
• Een gebruiker of host van de zaak die je threat intelligence als indicator kent.

Een zaak die op een adres is gegroepeerd, zoals een brute-forceaanval op je VPN, gaat over geen van beide: haar inperkingsstappen worden overgeslagen, en het geprobeerde account en de geraakte gateway blijven ongemoeid. Een stap werkt op hoogstens 10 gebruikers of hosts. Hij zoekt elk ervan op naam op in het product, en meldt op de uitvoering wat hij met elk deed: uitgevoerd, al uitgevoerd, niet gevonden, geweigerd of beschermd.

Beschermde entiteiten#

Protected Entities, onder Playbooks in het menu, toont de gebruikers en hosts die geen enkel playbook inperkt, zoals noodaccounts, domeincontrollers en VPN-gateways. Een waarde matcht ongeacht hoofdletters, en * staat voor elke reeks tekens: svc-* beschermt elk serviceaccount. Een stap meldt een beschermde gebruiker of host als beschermd en laat hem ongemoeid. Security Admins houden de lijst bij.

Goedkeuring#

De vier stappen die iemand de toegang ontnemen, wachten op goedkeuring. Alleen een Security Admin kan Needs Approval voor een ervan uitzetten, en Status200 legt vast wie dat deed. De goedkeuring toont onder Act On de gebruikers of hosts waarop de stap zou werken, allemaal aangevinkt: vink uit wat hij ongemoeid moet laten. Beschermde gebruikers en hosts staan er niet tussen. Wie een uitvoering heeft gestart, kan haar stappen niet goedkeuren: dat doet iemand anders, maar afwijzen kan die persoon nog wel.

Ongedaan maken#

De herstelstappen werken op de gebruikers of hosts waar de zaak over gaat, net als de stappen die ze terugdraaien. Zodra de uitvoering is gestopt, heeft een ingeperkte gebruiker of host ook een eigen knop op zijn stap: Unsuspend, Lift Containment of Vrijgeven. Een beëindigde Okta-sessie kan niet ongedaan worden gemaakt. Elke herstelactie wordt bewaard op de tijdlijn van de zaak en in het auditlogboek van het project.

Berichten#

Een notitie, een e-mail, een Slack-bericht en een Teams-bericht kunnen de waarden van de zaak gebruiken:

Een e-mail of bericht zonder eigen tekst stuurt een samenvatting van de zaak.

Uitvoeringen en goedkeuringen#

Elke uitvoering staat stap voor stap vermeld bij haar zaak en onder Producten → Security Events → Playbooks → Playbook-uitvoeringen:

Een stap die op goedkeuring wacht, toont Approve en Reject op de uitvoering, met een optionele opmerking. Goedkeuren zet de uitvoering voort vanaf die stap; afwijzen beëindigt haar. De beslissing, wie haar nam en de opmerking worden bewaard bij de stap, op de tijdlijn van de zaak en in het auditlogboek van het project. Wacht op goedkeuring, onder Playbooks in het menu, toont de uitvoeringen die op een beslissing wachten en telt ze; Playbook-uitvoeringen toont elke uitvoering.

Een uitvoering die niets meer van haar worker hoort, bijvoorbeeld na een herstart, wordt weer opgepakt: een uitvoering in de wachtrij wordt na 2 minuten opnieuw in de wachtrij gezet, en een uitvoering die 30 minuten niets heeft gemeld, wordt als mislukt gemarkeerd.

Het overzicht#

Producten → Security Events → Overzicht is de pagina waarop het product opent:

• De open zaken die aan jou zijn toegewezen, de open zaken die nog niemand heeft opgepakt, en de playbookstappen die op goedkeuring wachten; elk getal opent de pagina die ze toont.
• Gemiddelde tijd tot bevestiging, Gemiddelde tijd tot indamming en Gemiddelde tijd tot sluiting, over de zaken die in de afgelopen 30 dagen zijn geopend: van het openen van een zaak tot iemand haar oppakt (een persoon toewijst, of haar uit Nieuw haalt), tot Contained, en tot Gesloten. Een zaak die nog wacht, telt niet mee in een gemiddelde.
• De zaken die per dag zijn geopend, over 30 dagen, per prioriteit, en de detecties die per dag zijn opgeworpen, over 14 dagen, per bron.
• De open zaken per prioriteit en per status, de oordelen van de afgelopen 30 dagen, de ATT&CK-tactieken achter de zaken, de detecties die het vaakst afgingen, en de entiteiten die in de meeste bevindingen voorkomen.

Daarboven toont een strook hoe beveiliging is ingericht: de bronnen, detecties, zaken en playbooks, elk met hun cijfers. Een project dat het nog niet heeft ingericht, ziet daar Aanbevolen inschakelen en Testaanval sturen; zie Aan de slag met beveiliging. Als niets iemand nodig heeft, zegt de pagina Alles rustig, en de grafieken verschijnen zodra er iets te tonen is.

Dreigingen vinden#

• Entiteiten rangschikt de gebruikers, hosts, adressen en hashes die je bevindingen het vaakst noemen, over de afgelopen dag, week of maand, en zoekt elke waarde op in 30 dagen aan gebeurtenissen.
• Rule Library bevat kant-en-klare detectieregels voor dreigingen rond identiteit, endpoints, cloud, netwerk, web en Kubernetes. Elke regel is een Sigma-regel, geschreven voor de velden waarnaar elke gekoppelde bron wordt genormaliseerd. Regel toevoegen maakt hem aan als een eigen detectieregel, ingeschakeld en zo ingesteld dat hij zaken opent in plaats van waarschuwingen; wijzig hem onder Detection Rules zoals elke andere. De regels die als Aanbevolen zijn gemarkeerd, vinden bedreigingen in gegevens die Status200 al heeft, en één knop voegt de regels toe die u nog niet hebt.
• ATT&CK Coverage tekent de matrix van MITRE ATT&CK, licht de technieken op die je ingeschakelde regels dekken, en omlijnt de technieken die een regel uit de bibliotheek zou dekken.

Automatiseren#

• Workflows: een zaak of een notitie kan een workflow starten wanneer ze wordt aangemaakt, bijgewerkt of verwijderd. Een stap Run a workflow start een workflow waarvan de trigger een webhook is.
• API: zaken, notities, detecties, playbooks, uitvoeringen en beschermde entiteiten hebben dezelfde REST API als de rest van Status200, onder /security-case, /security-case-note, /security-detection, /security-playbook, /security-playbook-run en /security-protected-entity. Zie API-referentie.
• AI-agents: de MCP-server heeft tools voor zaken, notities, detecties en playbooks. Zie MCP-server.

Probleemoplossing#

Volgende stappen#