Инструкция на случай беды
Ранбук (runbook) — пошаговая инструкция для типовой ситуации: что делать, в каком порядке, кто отвечает. Близкое понятие — плейбук (playbook): более общий план реагирования на тип инцидента.
При чём тут безопасность: во время инцидента нет времени думать с нуля. Ранбук превращает стресс в последовательность понятных шагов.
Что в нём есть
- Когда применять: признаки ситуации.
- Шаги по порядку, с командами и ссылками на системы.
- Кто отвечает за каждый шаг и кого оповестить.
- Когда эскалировать выше.
- Что записать для отчёта.
Пример: фишинговое письмо
- Получить письмо от сотрудника как вложение.
- Проверить отправителя, ссылки и вложения в песочнице.
- Найти такие же письма у других сотрудников и удалить.
- Заблокировать домен и адреса отправителя.
- Если кто-то ввёл пароль — сбросить пароль, завершить сеансы.
- Записать результаты.
От ранбука к автоматизации
Хорошо отлаженный ранбук можно частично автоматизировать. Системы SOAR выполняют рутинные шаги сами: проверяют ссылку, блокируют адрес, создают заявку.
Человек остаётся для решений, которые требуют понимания контекста. О SOAR — в отдельном уроке.
Ранбук должен жить
Устаревший ранбук опаснее, чем его отсутствие: он уверенно ведёт не туда. Поэтому их регулярно проверяют на учениях и обновляют после каждого реального инцидента.
Так работает раздел «разбор уроков» процесса реагирования на инциденты.
Главное за урок
- Ранбук — пошаговая инструкция для типовой ситуации.
- В нём шаги, ответственные, критерии эскалации и что записать.
- Ранбуки проверяют на учениях и обновляют после инцидентов.