Implementando Automação SOAR com Phantom

Quando Usar

Use esta habilidade quando:

• Equipes de SOC precisam automatizar tarefas repetitivas de triagem e enriquecimento para alertas de alto volume
• Tempos de resposta manuais excedem os requisitos de SLA e a automação pode reduzir o MTTR
• Múltiplas ferramentas de segurança (SIEM, EDR, firewall, TIP) precisam de ações de resposta orquestradas
• A padronização de playbooks é necessária para garantir uma resposta consistente dos analistas entre os turnos

Não use para contenção totalmente autônoma sem pontos de aprovação humana — sempre inclua pontos de decisão do analista para ações de alto impacto, como desativação de conta ou isolamento de host.

Pré-requisitos

• Splunk SOAR (Phantom) 6.x+ implantado com acesso à interface web
• Conectores de aplicativos configurados: VirusTotal, CrowdStrike, ServiceNow, Active Directory, Splunk ES
• Integração Splunk ES para ingestão de eventos notáveis como eventos SOAR
• Credenciais de API para cada ferramenta integrada armazenadas na configuração de ativos do SOAR
• Conhecimento de Python para ações de playbook personalizadas

Fluxo de Trabalho

Etapa 1: Configurar Conexões de Ativos

Configure integrações com ferramentas de segurança via Aplicativos SOAR:

Configuração de Ativo VirusTotal:

{
  "app": "VirusTotal v3",
  "asset_name": "virustotal_prod",
  "configuration": {
    "api_key": "YOUR_VT_API_KEY",
    "rate_limit": true,
    "max_requests_per_minute": 4
  },
  "product_vendor": "VirusTotal",
  "product_name": "VirusTotal"
}

Ativo CrowdStrike Falcon:

{
  "app": "CrowdStrike Falcon",
  "asset_name": "crowdstrike_prod",
  "configuration": {
    "client_id": "CS_CLIENT_ID",
    "client_secret": "CS_CLIENT_SECRET",
    "base_url": "https://api.crowdstrike.com"
  }
}

Ativo Active Directory:

{
  "app": "Active Directory",
  "asset_name": "ad_prod",
  "configuration": {
    "server": "dc01.company.com",
    "username": "soar_service@company.com",
    "password": "SERVICE_ACCOUNT_PASSWORD",
    "ssl": true
  }
}

Etapa 2: Construir Playbook de Triagem de Phishing

Crie um playbook de resposta automatizada de phishing em Python (formato de playbook Phantom):

"""
Playbook de Automação de Triagem de Phishing
Gatilho: Novo e-mail de phishing relatado via Splunk ES notable ou ingestão de e-mail
"""

import phantom.rules as phantom
import json

def on_start(container):
    # Extrair artefatos (URLs, hashes de arquivos, remetente) do contêiner
    artifacts = phantom.get_artifacts(container_id=container["id"])

    for artifact in artifacts:
        artifact_type = artifact.get("cef", {}).get("type", "")

        if artifact_type == "url":
            phantom.act("url reputation", targets=artifact,
                        assets=["virustotal_prod"],
                        callback=url_reputation_callback,
                        name="url_reputation")

        elif artifact_type == "hash":
            phantom.act("file reputation", targets=artifact,
                        assets=["virustotal_prod"],
                        callback=hash_reputation_callback,
                        name="file_reputation")

        elif artifact_type == "ip":
            phantom.act("ip reputation", targets=artifact,
                        assets=["virustotal_prod"],
                        callback=ip_reputation_callback,
                        name="ip_reputation")

def url_reputation_callback(action, success, container, results, handle):
    if not success:
        phantom.comment(container, "Verificação de reputação de URL falhou")
        return

    for result in results:
        data = result.get("data", [{}])[0]
        malicious_count = data.get("summary", {}).get("malicious", 0)
        total_engines = data.get("summary", {}).get("total_engines", 0)

        if malicious_count > 5:
            # Malicioso com alta confiança — bloquear automaticamente e escalar
            phantom.act("block url", targets=result,
                        assets=["palo_alto_prod"],
                        name="block_malicious_url")

            phantom.set_severity(container, "high")
            phantom.set_status(container, "open")
            phantom.comment(container,
                f"URL sinalizada por {malicious_count}/{total_engines} motores. "
                f"Bloqueada no firewall. Escalando para Nível 2.")

            # Criar ticket ServiceNow
            phantom.act("create ticket", targets=container,
                        assets=["servicenow_prod"],
                        parameters=[{
                            "short_description": f"Phishing - URL maliciosa detectada",
                            "urgency": "2",

…