c2.22 インシデント対応プレイブックを定義する
対応が必要な望ましくない状況を事前に決め、対応をプレイブックとして文書化します。文書化された計画があれば、最も熟練した対応者が不在でも、一貫して再現可能な対応ができます。
実装ガイダンス
必要になる前に対応を計画する
インシデント対応の第一歩は、起こりうる望ましくない状況を洗い出し、それぞれの行動計画を定義することです。たとえば Amazon GuardDuty が EC2 インスタンスからのクリプトマイニングや既知のコマンド＆コントロールアドレスへのアウトバウンド接続を報告した場合、プレイブックはインスタンスを隔離するかもしれません（アウトバウンドトラフィックをブロックし、インバウンドの管理アクセスをフォレンジックチームの IP からのみ許可するセキュリティグループ）。
プレイブックとして文書化する
これらのシナリオをプレイブックとして書き起こします。文書化は一貫性とスケールをもたらします。最も熟練した対応者が休暇中でも、経験の浅いスタッフが計画に従って同じように対応できます。AWS セキュリティインシデント対応ガイドは堅実な出発点となるフレームワークで、AWS カスタマープレイブックフレームワークは適応してすぐ使えるサンプルを提供します。
生きた文書として保つ
環境やサービスの変化に合わせて正確さを保つため、プレイブックを定期的に見直し、テストします（机上演習を含む）。
How to validate
- 定義された対応が必要なインシデントシナリオを洗い出しましたか？
- 対応はチーム全体が従えるプレイブックとして文書化されていますか？
- プレイブックを定期的にテストし更新していますか（たとえば机上演習で）？
Threats addressed
- 事前に定義された計画がないと、対応は場当たり的で遅くなり、攻撃者に行動の時間を与え、一貫性のない、あるいは不完全な根絶になる可能性が高まります。
AWS サービス
AWS Security Incident Response 
Amazon GuardDuty