c2.22 Definir playbooks de resposta a incidentes
Decida com antecedência quais situações indesejáveis merecem ação e documente a resposta como playbooks. Um plano documentado dá uma resposta consistente e repetível mesmo quando o seu respondedor mais sênior não está disponível.
Guia de implementação
Planeje as respostas antes de precisar delas
O primeiro passo na resposta a incidentes é enumerar as situações indesejáveis que podem ocorrer e definir o plano de ação para cada uma. Por exemplo, quando o Amazon GuardDuty reporta cryptomining ou conexões de saída para um endereço conhecido de command-and-control a partir de uma instância EC2, o playbook pode isolar a instância (um security group que bloqueie o tráfego de saída e permita acesso administrativo de entrada apenas a partir do IP da equipe forense).
Documente como playbooks
Escreva esses cenários como playbooks. A documentação dá consistência e escala: quando o respondedor mais sênior está de férias, a equipe júnior pode responder da mesma forma seguindo o plano. O Guia de Resposta a Incidentes de Segurança da AWS é um framework de partida sólido, e o framework de playbooks para clientes da AWS oferece amostras prontas para adaptar.
Mantenha-os vivos
Revise e teste os playbooks periodicamente (incluindo exercícios de mesa) para que permaneçam precisos à medida que o seu ambiente e serviços mudam.
Como validar
- Você enumerou os cenários de incidente que merecem uma resposta definida?
- As respostas estão documentadas como playbooks que toda a equipe pode seguir?
- Você testa e atualiza os playbooks periodicamente (por exemplo com exercícios de mesa)?
Ameaças atendidas
- Sem um plano predefinido, a resposta é improvisada e lenta, o que dá ao adversário mais tempo para agir e aumenta a chance de uma erradicação inconsistente ou incompleta.
Serviços AWS
AWS Security Incident Response 
Amazon GuardDuty