Construindo um Painel de Resposta a Incidentes

Quando Usar

Use esta funcionalidade quando:

• Equipes de Resposta a Incidentes (RI) precisarem de painéis em tempo real durante incidentes ativos para coordenação e acompanhamento.
• Liderança do Centro de Operações de Segurança (SOC) necessitar de painéis operacionais mostrando o status do incidente e a carga de trabalho dos analistas.
• Revisões pós-incidente precisarem de linhas do tempo visuais e avaliações de impacto.
• Apresentações executivas exigirem métricas de incidentes de alto nível e análise de tendências.

Não use para painéis de monitoramento diário do SOC (use Revisão de Incidentes em vez disso) — painéis de RI são projetados para coordenação de incidentes ativos e relatórios de gestão.

Pré-requisitos

• Plataforma SIEM (Splunk com Dashboard Studio, Elastic Kibana ou Grafana).
• Dados de eventos notáveis e incidentes no SIEM (índice incident_review do Splunk ES).
• Integração com sistema de tickets (ServiceNow, Jira) para acompanhamento de remediação.
• Tabelas de consulta de ativos e identidades para enriquecimento de contexto.
• Acesso para publicação de painéis para distribuição à equipe do SOC e à gerência.

Fluxo de Trabalho

Etapa 1: Projetar o Layout do Painel de Incidentes Ativos

Construa um painel no Splunk Dashboard Studio para rastreamento de incidentes ativos:

<dashboard version="2" theme="dark">
  <label>Active Incident Response Dashboard</label>
  <description>Real-time tracking for IR-2024-0450</description>

  <row>
    <panel>
      <title>Incident Summary</title>
      <single>
        <search>
          <query>
| makeresults
| eval incident_id="IR-2024-0450",
       status="CONTAINMENT",
       severity="Critical",
       affected_hosts=7,
       contained_hosts=5,
       iocs_identified=23,
       hours_elapsed=round((now()-strptime("2024-03-15 14:00","%Y-%m-%d %H:%M"))/3600,1)
| table incident_id, status, severity, affected_hosts, contained_hosts, iocs_identified, hours_elapsed
          </query>
        </search>
      </single>
    </panel>
  </row>
</dashboard>

Etapa 2: Construir o Painel de Rastreamento de Sistemas Afetados em Tempo Real

Monitore os sistemas afetados e seu status de contenção:

| inputlookup ir_affected_systems.csv
| eval status_color = case(
    status="Contained", "#2ecc71",
    status="Compromised", "#e74c3c",
    status="Investigating", "#f39c12",
    status="Recovered", "#3498db",
    1=1, "#95a5a6"
  )
| stats count by status
| eval order = case(status="Compromised", 1, status="Investigating", 2,
                    status="Contained", 3, status="Recovered", 4)
| sort order
| table status, count

--- Detailed host table
| inputlookup ir_affected_systems.csv
| lookup asset_lookup_by_cidr ip AS host_ip OUTPUT category, owner, priority
| table hostname, host_ip, category, owner, status, containment_time,
        compromise_vector, analyst_assigned
| sort status, hostname

Etapa 3: Construir o Painel de Rastreamento de IOCs

Monitore a disseminação de Indicadores de Comprometimento (IOCs) pelo ambiente:

--- IOCs identified during incident
index=* (src_ip IN ("185.234.218.50", "45.77.123.45") OR
         dest IN ("evil-c2.com", "malware-drop.com") OR
         file_hash IN ("a1b2c3d4...", "e5f6a7b8..."))
earliest="2024-03-14"
| stats count AS hits, dc(src_ip) AS unique_sources,
        dc(dest) AS unique_dests, latest(_time) AS last_seen
  by sourcetype
| sort - hits

--- IOC timeline
index=* (src_ip IN ("185.234.218.50") OR dest="evil-c2.com")
earliest="2024-03-14"
| timechart span=1h count by sourcetype

--- New IOC discovery tracking
| inputlookup ir_ioc_list.csv
| stats count by ioc_type, source, discovery_time
| sort discovery_time
| table discovery_time, ioc_type, ioc_value, source, status

Etapa 4: Construir o Painel de Linha do Tempo de Resposta

Crie uma linha do tempo cronológica do incidente:

| inputlookup ir_timeline.csv
| sort _time
| eval phase = case(
    action_type="detection", "Detection",
    action_type="triage", "Triage",
    action_type="containment", "Containment",
    action_type="eradication", "Eradication",
    action_type="recovery", "Recovery",
    1=1, "Other"
  )
| eval phase_color = case(
    phase="Detection", "#e74c3c",
    phase="Triage", "#f39c12",
    phase="Containment", "#e67e22",
    phase="Eradication", "#2ecc71",
    phase="Recovery", "#3498db"
  )
| table _time, phase, action, analyst, details

Exemplo de dados da linha do tempo:

_time,action_type,action,analyst,details
2024-03-15 14:00,detection,Alerta disparado - Beacon do Cobalt Strike detectado,splunk_es,Evento notável NE-2024-08921
2024-03-15 14:12,triage,Alerta triado - positivo verdadeiro confirmado,analyst_jdoe,Pontuação VT 52/72 no hash do beacon
2024-03-15 14:23,containment,Host WORKSTATION-042 isolado,analyst_jdoe,Isolamento de rede do CrowdStrike

…