c4.14 Agregar orquestación de seguridad y ticketing

Siga cada incidente con un ticket

Dé a cada incidente un ticket para seguir el progreso. Use su sistema de ticketing existente o una plataforma de Security Orchestration, Automation and Response (SOAR). Prácticas clave:

• Auto-escalar los tickets no reconocidos o fuera de SLA.
• Propiedad: quien toma un ticket es su dueño hasta que otra persona lo asuma explícitamente. Nunca lance un problema a una bandeja de entrada y se olvide; confirme que el equipo receptor lo tiene y con el contexto para continuar.
• Documentar cada acción significativa para aprendizaje y forensia.
• Correlacionar IoCs con incidentes previos e inteligencia de amenazas externa para identificar actores y tácticas.
• Métricas/KPIs: refleje la fase de respuesta (detección, análisis, contención, erradicación, recuperación) en el estado del ticket, mida el tiempo en cada fase y reporte mensual o trimestralmente.
• Auto-enriquecer los tickets con contexto del activo afectado; la sumarización con IA generativa puede ayudar.

Centre todo en AWS Security Hub

AWS Security Hub es el hub natural para la orquestación y el ticketing. Agrega y correlaciona los hallazgos de Amazon GuardDuty, Amazon Inspector, Amazon Macie, Security Hub CSPM y soluciones de socios de AWS, normalizados al Open Cybersecurity Schema Framework (OCSF) para que las herramientas posteriores consuman un formato consistente.

• Ticketing: Security Hub se integra de forma bidireccional con Jira y ServiceNow (ITSM): cree y actualice tickets desde los hallazgos de forma automática o manual, y sincronice el estado de vuelta, para que los incidentes vivan en el flujo de trabajo que sus equipos ya usan.
• Extienda con socios: el Security Hub Extended plan aporta un conjunto curado de soluciones de socios de AWS (por ejemplo CrowdStrike, Splunk, Okta, Zscaler, Proofpoint) para extender la detección y respuesta más allá de AWS en todo su estate empresarial.

Plataformas SOAR

Las principales plataformas SOAR se integran con AWS Security Hub y con AWS en general para tomar acciones; algunas enfatizan el ticketing, otras la automatización. Por ejemplo, Splunk SOAR consume hallazgos reenviados vía Amazon EventBridge, y Palo Alto Cortex XSOAR ofrece content packs para muchos servicios de AWS. Elija según si su brecha es ticketing, automatización o ambas.