c4.14 Adicionar orquestração de segurança e ticketing
Cada incidente de segurança deve ter um ticket que acompanhe seu progresso ao longo do ciclo de resposta. Use um sistema de ticketing ou uma plataforma SOAR que autoescalone diante de violação de SLA, imponha a propriedade, registre cada ação e produza métricas para melhoria.
Guia de implementação
Acompanhe cada incidente com um ticket
Dê a cada incidente um ticket para acompanhar o progresso. Use o seu sistema de ticketing existente ou uma plataforma de Security Orchestration, Automation and Response (SOAR). Práticas-chave:
- Autoescalar os tickets não reconhecidos ou fora do SLA.
- Propriedade: quem pega um ticket é o dono dele até que outra pessoa assuma explicitamente. Nunca jogue um problema em uma caixa de entrada e esqueça; confirme que a equipe receptora o tem e com o contexto para continuar.
- Documentar cada ação significativa para aprendizado e forense.
- Correlacionar IoCs com incidentes anteriores e inteligência de ameaças externa para identificar atores e táticas.
- Métricas/KPIs: reflita a fase de resposta (detecção, análise, contenção, erradicação, recuperação) no status do ticket, meça o tempo em cada fase e reporte mensal ou trimestralmente.
- Autoenriquecer os tickets com contexto do ativo afetado; a sumarização com IA generativa pode ajudar.
Centralize no AWS Security Hub
O AWS Security Hub é o hub natural para orquestração e ticketing. Ele agrega e correlaciona as descobertas do Amazon GuardDuty, do Amazon Inspector, do Amazon Macie, do Security Hub CSPM e de soluções de parceiros da AWS, normalizadas ao Open Cybersecurity Schema Framework (OCSF) para que as ferramentas posteriores consumam um formato consistente.
- Ticketing: o Security Hub integra-se de forma bidirecional com o Jira e o ServiceNow (ITSM): crie e atualize tickets a partir das descobertas automática ou manualmente, e sincronize o status de volta, para que os incidentes vivam no fluxo de trabalho que as suas equipes já usam.
- Estenda com parceiros: o Security Hub Extended plan traz um conjunto curado de soluções de parceiros da AWS (por exemplo CrowdStrike, Splunk, Okta, Zscaler, Proofpoint) para estender a detecção e a resposta além da AWS em todo o seu estate empresarial.
Plataformas SOAR
As principais plataformas SOAR se integram ao AWS Security Hub e à AWS em geral para tomar ações; algumas enfatizam o ticketing, outras a automação. Por exemplo, o Splunk SOAR consome descobertas encaminhadas via Amazon EventBridge, e o Palo Alto Cortex XSOAR oferece content packs para muitos serviços da AWS. Escolha conforme a sua lacuna seja ticketing, automação ou ambas.
Como validar
- Cada incidente de segurança recebe um ticket que o acompanha pelo ciclo de resposta?
- Os tickets autoescalonam diante da falta de reconhecimento ou violação de SLA, com propriedade clara?
- As ações são documentadas e métricas (tempo por fase) são produzidas para impulsionar a melhoria?
- Você usa uma plataforma SOAR integrada ao Security Hub CSPM onde a automação agrega valor?
Ameaças atendidas
- Sem ticketing e propriedade, os incidentes caem em caixas de entrada, empacam sem um dono responsável e o seu tratamento não pode ser medido nem melhorado.
Serviços AWS
AWS Security Hub 
Amazon EventBridge Mapeamentos de frameworks
AWS CAF
Well-Architected
NIST CSF
Referências
- aws.amazon.com/security-hub
- docs.aws.amazon.com/securityhub/latest/userguide/jiracloud.html
- aws.amazon.com/blogs/aws/aws-security-hub-extended-offers-full-stack-enterprise-security-with-curated-partner-solutions
- docs.aws.amazon.com/securityhub/latest/userguide/securityhub-cloudwatch-events.html
- www.splunk.com/en_us/products/splunk-security-orchestration-and-automation.html
- www.paloaltonetworks.com/cortex/cortex-xsoar