Criando Playbooks de Resposta a Incidentes

Quando Usar

• Estabelecendo ou amadurecendo um programa de resposta a incidentes do zero
• Documentando procedimentos para um novo tipo de incidente após um ataque inédito
• Automatizando fluxos de trabalho de resposta em uma plataforma SOAR (Cortex XSOAR, Splunk SOAR)
• Preparando-se para auditorias de conformidade que exigem procedimentos de RI documentados (SOC 2, PCI-DSS, HIPAA)
• Realizando uma análise de lacunas das capacidades de RI existentes contra cenários de ameaças específicos

Não use para investigações pontuais ad hoc; playbooks são documentos de procedimentos reutilizáveis, não relatórios específicos de casos.

Pré-requisitos

• Avaliação de risco organizacional identificando os principais cenários de incidentes por probabilidade e impacto
• NIST SP 800-61r3 ou framework SANS PICERL adotado como padrão organizacional de RI
• Inventário de ativos com classificações de criticidade de negócios e classificação de dados
• Gráfico RACI definindo papéis: Comandante de Incidente, analistas de SOC, administradores de sistemas, jurídico, comunicações
• Inventário de capacidades de detecção existentes (regras SIEM, detecções EDR, assinaturas IDS)
• Acesso à plataforma SOAR se estiver criando playbooks automatizados

Fluxo de Trabalho

Etapa 1: Selecionar e Escopar o Tipo de Incidente

Defina o cenário específico que o playbook abordará:

• Identifique os principais tipos de incidentes com base na avaliação de risco organizacional e dados históricos
• Escope cada playbook para um único tipo de incidente para clareza (não combine cenários não relacionados)
• Defina as condições de gatilho que ativam o playbook

Tipos comuns de playbooks:

Priority Playbooks (build first):
1. Ransomware incident response
2. Phishing/credential compromise
3. Business email compromise
4. Malware infection
5. Data breach/exfiltration
6. DDoS attack
7. Insider threat
8. Account takeover
9. Web application compromise
10. Cloud infrastructure compromise

Etapa 2: Definir a Estrutura do Playbook

Todo playbook deve seguir uma estrutura consistente:

PLAYBOOK TEMPLATE
━━━━━━━━━━━━━━━━
1. Playbook Metadata
   - Name, version, owner, last review date
   - Trigger conditions
   - Severity criteria

2. RACI Matrix
   - Who is Responsible, Accountable, Consulted, Informed for each step

3. Detection & Triage
   - How the incident is detected
   - Initial triage checklist
   - Severity classification criteria

4. Containment
   - Short-term containment actions
   - Long-term containment actions
   - Evidence preservation requirements

5. Eradication
   - Root cause identification
   - Malware/threat removal steps
   - Verification procedures

6. Recovery
   - System restoration steps
   - Validation criteria
   - Monitoring requirements post-recovery

7. Post-Incident
   - Lessons learned meeting trigger
   - Report template
   - Detection improvement actions

8. Communication
   - Internal notification matrix
   - External notification requirements (regulators, customers, law enforcement)
   - Status update cadence

9. Appendices
   - Tool-specific procedures
   - Contact lists
   - Evidence collection checklists

Etapa 3: Escrever Árvores de Decisão e Critérios de Escalonamento

Defina pontos de decisão claros com resultados binários:

Detection Alert Received
├── Is the alert a true positive?
│   ├── YES → Classify severity
│   │   ├── P1 (Critical) → Page incident commander, begin containment immediately
│   │   ├── P2 (High) → Notify IR lead, begin investigation within 30 min
│   │   ├── P3 (Medium) → Queue for investigation within 4 hours
│   │   └── P4 (Low) → Document and investigate within 24 hours
│   └── NO → Document as false positive, tune detection rule
└── Cannot determine → Escalate to Tier 2 for deeper analysis

Gatilhos de escalonamento:

• Qualquer incidente P1: Escalonamento imediato para o líder de RI e CISO
• Exfiltração de dados confirmada: Notificação ao consultor jurídico e oficial de privacidade
• Dados do cliente envolvidos: Processo de notificação ao cliente ativado
• Envolvimento de terceiros: Contato de segurança do fornecedor engajado
• Necessidade de aplicação da lei: A autorização do departamento jurídico geral é necessária antes do contato

Etapa 4: Definir Procedimentos Técnicos Específicos

Escreva instruções específicas da ferramenta para cada etapa (não orientações genéricas):

CONTENÇÃO - Isolamento de Endpoint via CrowdStrike:
1. Abra o Console Falcon > Hosts > Pesquise pelo nome do host afetado
2. Clique no host > Detalhes do Host
3. Clique no botão "Conter Host" no canto superior direito
4. Confirme o isolamento (o host só se comunicará com a nuvem CrowdStrike)
5. Documente a ação de contenção no ticket de incidente com timestamp
6. Verifique a contenção: O host deve mostrar o selo de status "Contido"


…