c3.20 Automatizar playbooks críticos
El personal de seguridad es escaso. Automatizar los playbooks de respuesta a incidentes lo libera para trabajo de mayor valor y hace la respuesta más rápida y consistente. Si una tarea es pura ejecución y no juicio, es candidata a automatización.
Guía de implementación
Automatice el "hacer", conserve el "pensar"
El personal de seguridad es uno de los recursos más escasos en cualquier organización. Automatizar los pasos de los playbooks les permite enfocarse en el juicio mientras hace la respuesta más rápida y consistente. Una buena regla: si un respondedor solo ejecuta una tarea en vez de pensarla, automatícela. Incluso código que un humano dispara manualmente —por ejemplo una función AWS Lambda preparada— reduce drásticamente el tiempo de respuesta y el impacto.
Apóyese en soluciones administradas
- Automated Security Response on AWS despliega, vía CloudFormation, un conjunto de flujos de Step Functions que remedian hallazgos comunes (por ejemplo incumplimientos de la línea base CIS) y anotan el hallazgo en AWS Security Hub CSPM tras la remediación.
- Las reglas de automatización de AWS Security Hub permiten actuar automáticamente sobre un hallazgo según su criticidad y el recurso afectado (a medida que correlaciona hallazgos de CSPM, GuardDuty, Inspector y más).
- Amazon EventBridge puede enrutar hallazgos a sus propias remediaciones en Lambda o Step Functions.
Empiece por sus playbooks de mayor valor
Automatice primero los playbooks que ejecuta con más frecuencia o los más críticos en tiempo, mantenga un paso de aprobación humana para acciones de alto impacto y registre cada acción automatizada para auditoría.
Cómo validar
- ¿Ha identificado los playbooks de mayor valor o más críticos en tiempo para automatizar?
- ¿Los hallazgos comunes se remedian automáticamente (por ejemplo con Automated Security Response on AWS o reglas de automatización de AWS Security Hub)?
- ¿Las acciones automatizadas se registran, y las de alto impacto conservan un paso de aprobación humana?
Amenazas que atiende
- La respuesta solo manual es lenta e inconsistente, y el personal de seguridad escaso se convierte en cuello de botella durante un incidente, aumentando el dwell time y el impacto.
Servicios AWS
AWS Security Hub 
Amazon EventBridge 
AWS Lambda