Implementando Playbooks SOAR com Palo Alto XSOAR

Visão Geral

O Cortex XSOAR (anteriormente Demisto) é a plataforma de Orquestração, Automação e Resposta de Segurança da Palo Alto Networks. Playbooks são o motor de automação central no XSOAR, permitindo que equipes de SOC automatizem tarefas repetitivas de resposta a incidentes. O XSOAR oferece mais de 900 pacotes de integração pré-construídos, 87 playbooks comuns e um editor visual de arrastar e soltar para criar fluxos de trabalho personalizados. Organizações que utilizam automação SOAR reduzem o tempo médio de resposta (MTTR) em 80% em média.

Quando Usar

• Ao implantar ou configurar a implementação de playbooks SOAR com capacidades do Palo Alto XSOAR em seu ambiente.
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Cortex XSOAR implantado (versão 8.x ou posterior, ou XSOAR hospedado).
• Acesso administrativo para criação de playbooks.
• Pacotes de integração instalados para ferramentas de segurança relevantes.
• Tipos de incidente e layouts configurados.
• Acesso à API para ferramentas externas (SIEM, EDR, plataformas de TI, ticketing).

Arquitetura de Playbook

Hierarquia de Componentes do XSOAR

Incident Type (e.g., Phishing)
    |
    v
Incident Layout (UI display configuration)
    |
    v
Pre-Processing Rules (auto-classification, deduplication)
    |
    v
Playbook (automation logic)
    |-- Sub-Playbooks (modular reusable workflows)
    |-- Tasks (individual automation steps)
    |-- Conditional Tasks (decision branches)
    |-- Scripts (custom Python/JavaScript)
    |-- Integrations (external tool commands)
    |
    v
War Room (investigation timeline)
    |
    v
Closing Report

Tipos de Tarefas do Playbook

Construindo um Playbook de Resposta a Phishing

Etapa 1: Definir Tipo de Incidente

incident_type: Phishing
playbook: Phishing Investigation - Full
severity_mapping:
  - condition: email contains executable attachment
    severity: high
  - condition: email from external domain with link
    severity: medium
  - condition: email reported by user
    severity: low
layout: Phishing Layout
sla: 60 minutes

Etapa 2: Estrutura YAML do Playbook

id: phishing-investigation-full
version: -1
name: Phishing Investigation - Full
description: Automated phishing email investigation with enrichment, analysis, and response
starttaskid: "0"
tasks:
  "0":
    id: "0"
    taskid: start
    type: start
    nexttasks:
      '#none#':
      - "1"
  "1":
    id: "1"
    taskid: extract-indicators
    type: regular
    task:
      name: Extract Indicators from Email
      script: ParseEmailFiles
    nexttasks:
      '#none#':
      - "2"
      - "3"
      - "4"
  "2":
    id: "2"
    taskid: enrich-urls
    type: playbook
    task:
      name: URL Enrichment
      playbookName: URL Enrichment - Generic v2
  "3":
    id: "3"
    taskid: enrich-files
    type: playbook
    task:
      name: File Enrichment
      playbookName: File Enrichment - Generic v2
  "4":
    id: "4"
    taskid: enrich-ips
    type: playbook
    task:
      name: IP Enrichment
      playbookName: IP Enrichment - Generic v2
  "5":
    id: "5"
    taskid: determine-verdict
    type: condition
    task:
      name: Is Email Malicious?
    conditions:
      - label: "yes"
        condition:
          - - operator: isEqualString
              left: DBotScore.Score
              right: "3"
      - label: "no"
    nexttasks:
      "yes":
      - "6"
      "no":
      - "9"
  "6":
    id: "6"
    taskid: block-sender
    type: regular
    task:
      name: Block Sender Domain
      script: '|||o365-mail-block-sender'
    scriptarguments:
      sender_address: ${incident.emailfrom}
  "7":
    id: "7"
    taskid: search-mailboxes
    type: regular
    task:
      name: Search and Delete from All Mailboxes
      script: '|||o365-mail-purge-compliance-search'
    scriptarguments:
      query: "from:${incident.emailfrom} subject:${incident.emailsubject}"
  "8":
    id: "8"
    taskid: notify-user
    type: regular
    task:

…