c2.22 Definir playbooks de respuesta a incidentes
Decida de antemano qué situaciones indeseables ameritan acción y documente la respuesta como playbooks. Un plan documentado da una respuesta consistente y repetible incluso cuando su respondedor más senior no está disponible.
Guía de implementación
Planifique las respuestas antes de necesitarlas
El primer paso en la respuesta a incidentes es enumerar las situaciones indeseables que pueden ocurrir y definir el plan de acción para cada una. Por ejemplo, cuando Amazon GuardDuty reporta cryptomining o conexiones salientes a una dirección conocida de command-and-control desde una instancia EC2, el playbook podría aislar la instancia (un security group que bloquee el tráfico saliente y permita acceso administrativo de entrada solo desde la IP del equipo forense).
Documente como playbooks
Escriba estos escenarios como playbooks. La documentación da consistencia y escala: cuando el respondedor más senior está de vacaciones, el personal junior puede responder de la misma forma siguiendo el plan. La Guía de Respuesta a Incidentes de Seguridad de AWS es un marco de partida sólido, y el framework de playbooks para clientes de AWS ofrece muestras listas para adaptar.
Manténgalos vivos
Revise y pruebe los playbooks periódicamente (incluyendo ejercicios de mesa) para que sigan siendo precisos a medida que cambian su entorno y sus servicios.
Cómo validar
- ¿Ha enumerado los escenarios de incidente que ameritan una respuesta definida?
- ¿Las respuestas están documentadas como playbooks que todo el equipo puede seguir?
- ¿Prueba y actualiza los playbooks periódicamente (por ejemplo con ejercicios de mesa)?
Amenazas que atiende
- Sin un plan predefinido, la respuesta es improvisada y lenta, lo que da al adversario más tiempo para actuar y aumenta la probabilidad de una erradicación inconsistente o incompleta.
Servicios AWS
AWS Security Incident Response 
Amazon GuardDuty