Pre-stage
Playbook wykonuje wszystkie kroki poprzedzające akcję, a potem się zatrzymuje. Przygotowane akcje mają status proposed w sekcji Automated steps na stronie alertu. Analityk je przegląda i wykonuje te, z którymi się zgadza, na stronie hosta w Response (graf zdarzeń prowadzi tam bezpośrednio). Akcja jest wtedy wykonywana w imieniu tego analityka.
Auto
Akcja reagowania wykonuje się bez potwierdzenia, gdy spełnione są wszystkie poniższe warunki:
- krok playbooka jest w trybie auto;
- werdykt doradczy to malicious z pewnością co najmniej 80 procent;
- zabezpieczenia organizacji na to pozwalają.
Jeśli któryś warunek nie jest spełniony, akcja jest tylko przygotowana, a zapis uruchomienia wyjaśnia dlaczego. Gdy akcję wstrzymało zabezpieczenie organizacji, jej liderzy dostają powiadomienie Action waiting for approval.
Automatyczne zamykanie i eskalacja mają własne warunki: pewność werdyktu co najmniej 80 procent, wystarczająca zgodność analityków z ostatnimi werdyktami danej reguły, a przy zamykaniu dodatkowo ocena dowodów A lub B.
Zabezpieczenia
Settings › Organizations › wybrana organizacja › Automation guardrails ogranicza to, co playbooki mogą robić automatycznie dla tej organizacji:
| Ustawienie | Działanie |
|---|---|
| Auto-close | Pozwala playbookom zamykać alerty z pewnym werdyktem benign. |
| Auto-escalate | Pozwala playbookom otwierać sprawy przy pewnym werdykcie malicious. |
| Automatic actions up to severity | Powyżej tego poziomu ważności każda akcja jest tylko przygotowywana. |
| Always require an analyst for | Akcje, które dla tej organizacji nigdy nie są wykonywane automatycznie. |
Dostawca usług może ustawić ostrożnemu klientowi ścisłe zabezpieczenia, a klientowi, który się na to zgodził, luźniejsze, bez zmieniania playbooków.
Cofanie akcji
Każda automatyczna akcja jest zapisywana razem z uruchomieniem, które ją wykonało, oraz w dzienniku audytu. Izolację i blokady aplikacji wyłączasz na stronie hosta w Response. Akcje na kontach wykonane w dostawcy tożsamości cofasz u tego dostawcy.