Playbook SOC: Como construir um processo de resposta consistente a alertas
Um Playbook SOC é um processo documentado que define como lidar com um tipo específico de alerta: qual é a entrada, quais verificações são realizadas, quais evidências são recolhidas, quais são os pontos de decisão, quando escalonar e quais ações são permitidas. Um bom Playbook cria consistência sem anular o pensamento analítico e é testado e atualizado de acordo com resultados reais e mudanças no ambiente.
Em cada SOC existe um conhecimento que não está escrito em lugar nenhum: um analista experiente sabe qual consulta executar, a quem ligar e quando um alerta específico é perigoso. O problema aparece no turno da noite, ao recrutar um novo funcionário ou durante um incidente generalizado – quando o conhecimento está na cabeça de uma pessoa que não está disponível.
Um Playbook transforma o conhecimento num fluxo de trabalho. Não é um script rígido que substitui o julgamento, mas sim uma estrutura que garante que as verificações críticas não são esquecidas, que as autoridades são claras e que cada decisão é documentada. O Microsoft Sentinel permite criar Incident Tasks manuais ou automatizadas e usar Automation Rules e Logic Apps Playbooks para adicionar tarefas e realizar ações.
Neste artigo, construiremos um Playbook para um alerta de Viagem Impossível. É importante notar que o nome pode referir-se a diferentes tipos de deteção em produtos Microsoft: Atypical Travel e Impossible Travel são Risk Detections separados, e alguns são calculados Offline e exigem licenciamento apropriado. Portanto, um Playbook deve começar por compreender a fonte do alerta e não pela suposição de que cada produto se comporta da mesma forma.
