Playbook d’incident de sécurité

Invoquez automatiquement ou manuellement le flux du playbook des incidents de sécurité.

Un playbook n’est visible que si au moins un playbook est associé à un incident de sécurité. Le composant de playbook fonctionne uniquement pour les processus créés par le concepteur d’automatisation de processus (PAD) et non pour les flux créés par le concepteur de flux. Les flux existants activés par le concepteur de flux continueront de fonctionner et les activités continueront d’être restituées en tant que tâches de réponse.

Il existe deux façons d’associer le playbook à l’incident de sécurité :

• Invoquer automatiquement le playbook
• Ajouter manuellement un playbook

Invoquer automatiquement le Playbook

Pour qu’un playbook soit invoqué automatiquement, un processus doit être défini à l’aide de Process Automation Designer (PAD). Lorsque la condition de déclenchement est remplie, l’onglet du playbook est automatiquement affiché avec les activités du playbook affichées.

Ajouter un playbook manuellement

Pour qu’un playbook soit appelé manuellement, accédez à la liste déroulante Action d’interface utilisateur du formulaire et sélectionnez Ajouter un playbook. Pour plus d’informations, consultez Ajouter un Playbook

Remarque :

Si un playbook est déjà disponible, les nouveaux playbooks ajoutés s’exécuteront en parallèle des playbooks existants.

• Dans le playbook, l’analyste peut filtrer les cartes de playbook par état.
• L’analyste peut annuler un playbook en le sélectionnant à partir de l’icône à trois points.
• Au sein de chaque activité, l’analyste pourra effectuer les actions définies dans les cartes d’activité telles que Ignorer, Marquer comme terminé, Annuler ou des actions d’orchestration telles que Soumettre à Sandbox, Rechercher des e-mails, etc.
• Chacune de ces actions est définie dans la définition d’activité, et la carte complète visible est personnalisable au moment de la création de la définition d’activité elle-même.

Remarque :

Toutes les définitions d’activités futures et les prochaines étapes à effectuer sont affichées avec une icône de verrou et sont en mode lecture seule pour l’utilisateur. Le mode d’affichage du playbook est contrôlé par une configuration comme expliqué ci-dessous.

1. Accédez à la Tous > Expériences Playbook.
2. Sur la page Playbook Experiences (Expériences de playbook), sélectionnez une expérience de playbook SIR.

   Figure 1. Expérience de playbook

   

   La page Expérience de playbook SIR de l’expérience de playbook s’affiche.

   Figure 2. Enregistrement de l’expérience de playbook

   

3. Cliquez sur l’enregistrement de configuration .

   

4. Dans l’onglet Configuration, cliquez sur Configuration de l’expérience de playbook SIR.

   Figure 3. Configuration Playbook

   

5. Accédez à la liste déroulante du champ Visibilité de l’élément en attente , sélectionnez l’option souhaitée et enregistrez l’enregistrement. Choisissez parmi les options suivantes :
   • Masquer les activités en attente : sélectionnez cette option pour masquer les activités en attente que vous souhaitez afficher dans la section du playbook de l’espace de travail.

     Figure 4. Exemple d’hameçonnage signalé par un utilisateur

     

   • Afficher les activités et étapes en attente : sélectionnez cette option pour afficher les activités et étapes en attente que vous aimeriez voir apparaître dans la section playbook de l’espace de travail.

     Figure 5. Afficher les activités et étapes en attente

     

   • Masquer les activités et étapes en attente : sélectionnez cette option pour masquer les activités et étapes en attente que vous souhaitez afficher dans la section playbook de l’espace de travail.

     Figure 6. Masque les activités et étapes en attente

     

6. Dans la section Playbook, utilisez l’option de filtre pour filtrer les activités par statut de carte Playbook (définition d’activité).

   Figure 7. État de la carte Playbook

   

Concepts associés

• Utilisation des enregistrements d’incidents de sécurité
• Prérequis pour les Playbooks
• Reconstruction des playbooks existants dans Studio de workflow
• Définitions d'activités
• Exemples de playbooks pour l’espace de travail SIR
• Utilisation des enregistrements MSI
• Utiliser les actions d’interface utilisateur du formulaire

Tâches associées

• Workflow de fermeture des incidents de sécurité
• Traiter les incidents de sécurité à l’aide de Affectation de travail avancée

Ajouter un Playbook

Utilisez cette section pour ajouter un playbook manuellement.

Avant de commencer

Rôle requis : sn_si.analyst

Procédure

1. Accédez à la Tous > Incident de sécurité > Espace de travail de l’analyste de sécurité.
2. Ouvrez un enregistrement d'incident.
3. Cliquez sur Ajouter un playbook.

   

   La boîte de dialogue Add Playbook (Ajouter un playbook ) s’affiche.

   

4. Sélectionnez le modèle de playbook.
5. Cliquez sur Ajouter un playbook.
   Une boîte de dialogue de message de confirmation s’affiche pour que vous puissiez confirmer.
6. Cliquez sur Ajouter quand même.

   

7. Le Playbook est ajouté à côté de l’onglet Details (Détails ).

   

8. Cliquez sur l’onglet Playbook .
   
9. Effectuez la série d’activités indiquée pour passer au niveau suivant.
   Remarque :

   Si un incident de sécurité est associé à un playbook, tant que le playbook associé n’est pas fermé ou annulé, l’utilisateur ne peut pas associer à nouveau le même playbook au même incident de sécurité.