Panoramica dei playbook

Questo documento fornisce una panoramica dei playbook a tua disposizione nel livello Enterprise di Security Command Center.

Panoramica

In Security Command Center, utilizza i playbook per esplorare e arricchire gli avvisi, ottenere maggiori informazioni sui risultati, ricevere suggerimenti sulle autorizzazioni in eccesso nella tua organizzazione e automatizzare le risposte a minacce, vulnerabilità, e configurazioni errate. Quando esegui l'integrazione con i sistemi di gestione dei ticket, i playbook ti aiutano a concentrarti sui risultati della postura pertinenti, garantendo al contempo la sincronizzazione tra richieste e ticket.

Il livello Enterprise di Security Command Center ti fornisce i seguenti playbook:

  • Playbook di risposta alle minacce:
    • Playbook di risposta alle minacce AWS
    • Playbook di risposta alle minacce Azure
    • Playbook di risposta alle minacce GCP
    • Google Cloud – Esecuzione – File binario o libreria caricata eseguita
    • Google Cloud – Esecuzione – Cryptomining
    • Google Cloud – Esecuzione – Script o processo shell con URL dannoso
    • Google Cloud – Malware – Indicatori
    • Google Cloud – Persistenza – Concessione anomala IAM
    • Google Cloud – Persistenza – Comportamento sospetto
  • Playbook dei risultati della postura:
    • Postura – Playbook combinazione tossica
    • Risultati della postura – Generico
    • Risultati della postura – Generico – VM Manager (disabilitato per impostazione predefinita)
    • Risultati della postura con Jira (disabilitato per impostazione predefinita)
    • Risultati della postura con ServiceNow (disabilitato per impostazione predefinita)
  • Playbook per la gestione dei suggerimenti IAM:
    • Risposta del motore per suggerimenti IAM (disabilitato per impostazione predefinita)

I playbook disabilitati per impostazione predefinita sono facoltativi e richiedono l'abilitazione manuale prima dell'utilizzo.

Nella pagina Richieste della console Security Operations, i risultati diventano avvisi di richiesta. Gli avvisi attivano i playbook collegati per eseguire l'insieme di azioni configurate per recuperare il maggior numero possibile di informazioni sugli avvisi, risolvere la minaccia e, a seconda del tipo di playbook, fornire le informazioni necessarie per creare ticket o gestire le combinazioni tossiche e i suggerimenti IAM.

Playbook di risposta alle minacce

Puoi eseguire i playbook di risposta alle minacce per analizzare le minacce, arricchire i risultati utilizzando diverse fonti e suggerire e applicare una risposta di correzione. I playbook di risposta alle minacce utilizzano più servizi come Google SecOps, Security Command Center, Cloud Asset Inventory e prodotti come VirusTotal e Mandiant Threat Intelligence per aiutarti a ottenere il maggior contesto possibile sulle minacce. I playbook possono aiutarti a capire se la minaccia nell'ambiente è un vero positivo o un falso positivo e qual è la risposta ottimale.

Per assicurarti che i playbook di risposta alle minacce ti forniscano tutte le informazioni sulle minacce, consulta Configurazione avanzata per la gestione delle minacce.

Il playbook Playbook di risposta alle minacce GCP esegue una risposta generica alle minacce provenienti da Google Cloud.

Il playbook Playbook di risposta alle minacce AWS esegue una risposta generica alle minacce provenienti da Amazon Web Services.

Il playbook Playbook di risposta alle minacce Azure esegue una risposta generica alle minacce provenienti da Microsoft Azure. Per risolvere le minacce, il playbook arricchisce le informazioni di Microsoft Entra ID e supporta la risposta alle email.

Il playbook Google Cloud – Malware – Indicatori può aiutarti a rispondere alle minacce correlate al malware e ad arricchire gli indicatori di compromissione (IoC) e le risorse interessate. Nell'ambito della correzione, il playbook suggerisce di arrestare un'istanza sospetta o disattivare un account di servizio.

Il playbook Google Cloud – Esecuzione – File binario o libreria caricata eseguita può aiutarti a gestire un nuovo file binario o una nuova libreria sospetti in un container. Dopo aver arricchito le informazioni sul container e sul account di servizio associato, il playbook invia un'email a un analista della sicurezza assegnato per un'ulteriore correzione.

Il playbook Google Cloud – Esecuzione – File binario o libreria caricata eseguita funziona con i seguenti risultati:

  • File binario aggiuntivo eseguito
  • Libreria aggiuntiva caricata
  • Esecuzione: file binario aggiuntivo dannoso eseguito
  • Esecuzione: libreria dannosa aggiuntiva caricata
  • Esecuzione: file binario dannoso integrato eseguito
  • Esecuzione: file binario dannoso modificato eseguito
  • Esecuzione: libreria dannosa modificata caricata

Per ulteriori informazioni sui risultati su cui si concentra il playbook, consulta la panoramica di Container Threat Detection.

Il playbook Google Cloud – Esecuzione – Cryptomining può aiutarti a rilevare le minacce di mining di criptovalute in Google Cloud, arricchire le informazioni sugli asset e sui service account interessati, esaminare l'attività rilevata sulle risorse correlate per vulnerabilità e configurazioni errate. Come risposta alle minacce, il playbook suggerisce di arrestare un'istanza di computing interessata o disattivare un account di servizio.

Il playbook Google Cloud – Esecuzione – Script o processo shell con URL dannoso può aiutarti a gestire un'attività sospetta in un container ed eseguire un arricchimento delle risorse dedicato. Come risposta alle minacce, il playbook invia un'email a un analista della sicurezza assegnato.

Il playbook Google Cloud – Esecuzione – Script o processo shell con URL dannoso funziona con i seguenti risultati:

  • Script dannoso eseguito
  • Rilevato URL dannoso
  • Reverse shell
  • Shell secondaria imprevista

Per ulteriori informazioni sui risultati su cui si concentra il playbook, consulta la panoramica di Container Threat Detection.

Il playbook Google Cloud – Malware – Indicatori può aiutarti a gestire le minacce correlate al malware rilevate da Security Command Center e a esaminare le istanze potenzialmente compromesse.

Il playbook Google Cloud – Persistenza – Concessione anomala IAM può aiutarti a esaminare un'identità o un account di servizio che ha concesso autorizzazioni sospette a un'entità, insieme all'insieme di autorizzazioni concesse, e a identificare l'entità in questione. Come risposta alle minacce, il playbook suggerisce di disattivare un account di servizio sospetto o, se non si tratta di un service account associato a un risultato ma di un utente, invia un'email a un analista della sicurezza assegnato per un'ulteriore correzione.

Per ulteriori informazioni sulle regole utilizzate nel playbook, consulta la panoramica di Container Threat Detection.

Il playbook Google Cloud – Persistenza – Comportamento sospetto può aiutarti a gestire i sottoinsiemi specifici di comportamenti sospetti correlati agli utenti, ad esempio l'accesso utilizzando un nuovo metodo API. Come risposta alle minacce, il playbook invia un'email a un analista della sicurezza assegnato per un'ulteriore correzione.

Per ulteriori informazioni sulle regole utilizzate nel playbook, consulta la panoramica di Event Threat Detection.

Playbook dei risultati della postura

Utilizza i playbook dei risultati della postura per analizzare i risultati della postura multicloud, arricchirli utilizzando Security Command Center e Cloud Asset Inventory ed evidenziare le informazioni pertinenti ricevute nella scheda Panoramica della richiesta. I playbook dei risultati della postura assicurano che la sincronizzazione di risultati e richieste funzioni come previsto.

Il playbook Postura – Playbook combinazione tossica può aiutarti ad arricchire le combinazioni tossiche e a impostare le informazioni necessarie, come i tag delle richieste, che Security Command Center richiede per monitorare ed elaborare le combinazioni tossiche e i risultati correlati.

Il playbook Risultati della postura – Generico – VM Manager è una versione leggera del playbook Risultati della postura – Generico che non contiene passaggi di arricchimento di Cloud Asset Inventory e funziona solo per i risultati di VM Manager.

Per impostazione predefinita, è abilitato solo il playbook Risultati della postura – Generico. Se esegui l'integrazione con Jira o ServiceNow, disattiva il playbook Risultati della postura – Generico e attiva quello pertinente al tuo sistema di gestione dei ticket. Per scoprire di più sulla configurazione di Jira o ServiceNow, consulta Integrare Security Command Center Enterprise con i sistemi di gestione dei ticket.

Oltre a esaminare e arricchire i risultati della postura, i playbook Risultati della postura con Jira e Risultati della postura con ServiceNow assicurano che il valore del proprietario della risorsa (indirizzo email) indicato in un risultato sia valido e assegnabile nel rispettivo sistema di gestione dei ticket. I playbook facoltativi dei risultati della postura raccolgono le informazioni necessarie per creare nuovi ticket e aggiornare quelli esistenti quando vengono inseriti nuovi avvisi nelle richieste esistenti.

Playbook per la gestione dei suggerimenti IAM

Utilizza il playbook Risposta del motore per suggerimenti IAM per gestire e applicare automaticamente i suggerimenti forniti dal motore per suggerimenti IAM. Questo playbook non fornisce alcun arricchimento e non crea ticket anche se hai eseguito l'integrazione con un sistema di gestione dei ticket.

Per maggiori dettagli sull'abilitazione e l'utilizzo del playbook Risposta del motore per suggerimenti IAM, consulta Automatizzare i suggerimenti IAM utilizzando i playbook.

Passaggi successivi

Per scoprire di più sui playbook, consulta le seguenti pagine della documentazione di Google SecOps: