Czym jest playbook
To workflow złożony z bloków, uruchamiany dla alertu: wzbogacenie, korelacja, dochodzenie, decyzja, przygotowanie lub wykonanie reakcji, powiadomienie. Playbooki budujesz w edytorze wizualnym na stronie Playbooks.
Wyzwalacze
| Wyzwalacz | Uruchamia się dla |
|---|---|
| Przypięte detekcje | Każdego alertu z reguł wymienionych w Fires from detections. Regułę możesz też przypiąć z edytora reguł. |
| Ręcznie | Alertów, dla których analityk wybierze Run AI workflow. |
Playbook bez przypiętych detekcji uruchamia się tylko ręcznie. Jeden playbook może też wywołać inny blokiem Run workflow.
Uruchomienie
Każde uruchomienie zapisuje kroki, dane wejściowe, wyniki, werdykt i akcje. Uruchomienia znajdziesz w Playbooks › Runs oraz w karcie AI workflow alertu. Zobacz Uruchomienia.
Automatyzacja
Kroki reagowania działają w trybie pre-stage, w którym akcje są proponowane do potwierdzenia przez człowieka, albo w trybie auto, w którym wykonują się przy pewnym werdykcie malicious w granicach zabezpieczeń organizacji. Połączenie playbooka z wynikiem close lub escalate pozwala mu samodzielnie zamykać lub eskalować alerty, z tymi samymi zabezpieczeniami. Zobacz Tryby i limity.
Zacznij prosto
Pierwszy playbook dla większości reguł to: Enrich → Correlate → Advisory verdict → Triage note, bez kroku reagowania i tylko z połączonym wynikiem queue. Nic nie kosztuje, daje werdykt dla każdego alertu i pokazuje, co zrobiłaby platforma, zanim pozwolisz jej działać.