Playbook

Ein Playbook beschreibt, wie ein SOC auf eine bestimmte Art von Vorfall reagiert. Es legt Schritte, Entscheidungspunkte, Zuständigkeiten und erlaubte Massnahmen fest.

So funktioniert es

Für häufige Szenarien wie Phishing, kompromittierte Konten oder Ransomware gibt es je ein Playbook. Es beginnt mit dem auslösenden Alert und führt durch Prüfung, Eindämmung und Abschluss. Viele Schritte lassen sich automatisieren, etwa das Anreichern mit Threat Intelligence. An kritischen Stellen entscheidet ein Mensch, zum Beispiel vor dem Isolieren eines Produktionsservers.

Ein Beispiel für ein Phishing-Playbook: Die gemeldete E-Mail wird analysiert, Links und Anhänge werden geprüft. Bei einem Treffer entfernt das SOC die Nachricht aus allen Postfächern. Danach wird geprüft, wer geklickt hat, und diese Konten werden bei Bedarf zurückgesetzt.

Worauf Sie achten sollten

• Aktualität: Ein Playbook, das seit zwei Jahren niemand angepasst hat, passt selten zur heutigen Umgebung.
• Freigaben: Halten Sie fest, welche Aktionen ohne Rückfrage erlaubt sind.
• Kontakte: Erreichbarkeiten ausserhalb der Bürozeiten müssen stimmen.
• Übungen: Testen Sie wichtige Playbooks in Tabletop-Übungen.
• Kundenbezug: Standard-Playbooks brauchen Anpassungen an Ihre Systeme und Prozesse.

Abgrenzung zum Runbook

Ein Playbook beschreibt den Ablauf eines Vorfalls als Ganzes. Ein Runbook beschreibt einzelne technische Schritte, etwa das Sperren eines Kontos in Entra ID.

Wie ein gutes Playbook aussieht

Ein brauchbares Playbook passt auf wenige Seiten. Es nennt den Auslöser, die Prüfschritte, die Entscheidungspunkte und die Kriterien für den Abschluss. Für jeden Entscheidungspunkt steht fest, wer entscheidet und wie diese Person erreichbar ist. Lange Texte ohne klare Reihenfolge helfen in einer Stresssituation wenig. Prüfen Sie jedes Playbook nach einem echten Vorfall und passen Sie an, was nicht funktioniert hat.

So setzen wir es um

Wir stimmen Playbooks im Onboarding mit Ihnen ab und passen sie an Ihre Umgebung an. Die wiederkehrenden Schritte sind automatisiert, die Entscheide an Ihr Mandat gebunden.