QRadar SOAR Playbook Designer semplifica la creazione di un processo standard di risposta agli incidenti o di una serie di attività. Le attività del playbook forniscono agli analisti indicazioni su come completare ogni attività e l'ordine in cui eseguirle. I punti decisionali consentono al processo di essere dinamico e di ramificare le attività aggiuntive o di saltare le attività non necessarie. Durante un evento imprevisto, un'analista può aggiungere manualmente ulteriori attività.

Il modulo Qradar SOAR Breach Response fornisce agli analisti compiti specifici per le violazioni, coprendo oltre 180 normative globali sulla privacy, per aiutarti a soddisfare i requisiti di segnalazione ed evitare multe salate.

Le attività definiscono le azioni e le azioni possono eseguire l'automazione, tramite integrazioni, con altri strumenti per accelerare il processo di risposta. QRadar SOAR può integrarsi con più di 300 soluzioni di sicurezza. Puoi semplicemente iniziare definendo il set di attività e l'ordine di esecuzione delle attività, quindi automatizzare prima le azioni eseguite più di frequente.

Il rilevamento automatizzato delle minacce fornisce avvisi che devono essere esaminati da un analista.L'invio di tali avvisi a QRadar SOAR crea un caso e avvia il processo di risposta agli incidenti (IR).

Le attività aiutano il team di sicurezza ad analizzare il sistema infetto e a esaminare il traffico di rete per rilevare i movimenti laterali.

I playbook contribuiscono a creare la giusta serie di attività, che può variare in base al tipo di origine o incidente.QRadar SOAR ti consente di creare playbook per diversi tipi di attacchi; i playbook contengono la logica per attivare attività diverse in base agli attributi dell'attacco.

Prima si crea un caso SOAR, più l'automazione può aiutare a risparmiare tempo.Le attività possono guidare nuovi analisti nella creazione della documentazione del caso.La funzione di archiviazione può ripulire i vecchi casi o i falsi positivi, mantenendo il sistema pulito, ma consentendo un registro permanente sempre recuperabile.

In questa fase, un analista deve cercare e determinare se l'avviso è reale. La guida alle attività può utilizzare azioni per raccogliere automaticamente i dettagli da più strumenti collegati, acquisendo tutte le informazioni pertinenti. Le informazioni vengono aggiunte alle tabelle dei dati del caso e questo avvia il processo di documentazione dell'incidente.

L'arricchimento può essere semplice: basta accedere a una directory LDAP per aggiungere il proprietario del laptop al caso o raccogliere tutti i dettagli pertinenti dalla fonte dell'avviso (ad esempio SIEM, EDR, cloud e altro). Automatizzando l'arricchimento con azioni del playbook, gli analisti possono concentrare la propria attenzione sul controllare e confermare l'incidente o sul contrassegnarlo come falso positivo.

In caso di perdita di dati, completare il questionario di risposta alla violazione con il numero di individui interessati e le loro aree geografiche può aiutare a determinare le normative applicabili, i tempi di risposta associati e le attività di segnalazione.

Il tempo è fondamentale durante un attacco e l'automazione delle azioni fa risparmiare tempo e riduce la curva di apprendimento per i nuovi analisti.  Con oltre 300 integrazioni e supporto per standard aperti, l'automazione delle azioni di contenimento è la prima priorità. Una volta che un analista conferma l'incidente, le azioni possono essere eseguite automaticamente o manualmente da un analista. Le azioni in questa fase possono portare un sistema offline o impedire l'esecuzione di un processo.  Le integrazioni con strumenti EDR, come QRadar EDR o Cybereason, possono anche mettere offline il laptop di un dipendente.

Per i sistemi IT, come la gestione delle buste paga o le risorse umane, le automazioni possono cercare i proprietari dei sistemi IT e aziendali in uno strumento di gestione delle risorse come ServiceNow o SAP. Le automazioni possono inviare un'e-mail ai proprietari per informarli che il sistema è infetto e aggiungere i proprietari alla tabella dei dati del caso con commenti che indicano che i proprietari sono stati avvisati tramite e-mail o Slack.

I playbook possono essere dinamici, quindi nel caso di un obiettivo di alto valore (come un laptop di un dirigente) il tempo può essere fondamentale e i playbook possono eseguire azioni di contenimento, mentre l'analista continua a lavorare sulle attività durante la fase di arricchimento e convalida.Dopo aver confermato i dettagli dell'attacco, le azioni possono automatizzare gli aggiornamenti di una blocklist del firewall utilizzando un'integrazione di rilevamento e risposta degli endpoint (EDR), che contribuisce a prevenire il movimento laterale o il rientro, così gli analisti risparmiano tempo.

Durante questa fase, i team di sicurezza possono facilitare le rimanenti azioni di ripristino e comunicare la risoluzione degli incidenti a tutto il team.Gli analisti possono automatizzare le azioni per creare monitorare le richieste per l'IT, per reinventare le macchine o per effettuare il ripristino dai backup.

Grazie a integrazioni bidirezionali con strumenti come ServiceNow, gli analisti possono creare un ticket da QRadar SOAR e monitorare l'avanzamento.ServiceNow può aggiornare il caso una volta completato il ticket ServiceNow.È anche possibile automatizzare le azioni che richiedono la soluzione EDR, come QRadar EDR, Carbon Black o SentinelOne, per riportare il sistema online.

Lezioni apprese
Il reporting riassume la documentazione per ogni risposta e azione intrapresa.Un report sull'incidente riassumerà il caso per la revisione, per garantire che tutta la documentazione adeguata faccia parte del caso.In caso di violazione dei dati, una revisione delle normative applicabili è utile per mantenere le organizzazioni conformi con le tempistiche di reporting associate.

Gli analisti esaminano le fasi e documentano eventuali problemi che devono essere aggiornati per migliorare la risposta agli incidenti in futuro. Questo è il momento in cui un analista documenta e consiglia miglioramenti come la modifica della frequenza dei backup o la revisione delle attività manuali aggiunte al caso che dovrebbero essere aggiunte al playbook per incidenti futuri.

Il reporting aiuta a comprendere gli aspetti migliorabili del processo di risposta agli incidenti.I team della sicurezza possono utilizzare la piattaforma QRadar SOAR per "Generare report sugli incidenti".Da qui, gli analisti possono creare un report su uno o più incidentie utilizzare un modello standard per formattare il report o personalizzarlo in base alle esigenze specifiche.