Runbook

Ein Runbook ist eine technische Schritt-für-Schritt-Anleitung für eine konkrete Aufgabe. Es beschreibt genau, welche Befehle oder Klicks in welchem System nötig sind.

So funktioniert es

Runbooks sind die Werkzeuge, die ein Playbook aufruft. Ein Playbook sagt zum Beispiel: «Kompromittiertes Konto sperren.» Das Runbook beschreibt dann, wie das in Entra ID, im VPN und im lokalen Active Directory gemacht wird. Gute Runbooks sind so präzise, dass auch eine Person ohne Vorwissen zum System sie nachts korrekt ausführen kann.

Ein Beispiel: Ein Runbook zum Isolieren eines Endpoints beschreibt den Aufruf im EDR, die nötigen Rechte und die Prüfung, ob die Isolation greift. Es hält auch fest, wie die Isolation wieder aufgehoben wird. Viele solche Runbooks lassen sich direkt als automatisierte Aktion umsetzen.

Worauf Sie achten sollten

• Genauigkeit: Nach jedem Systemwechsel müssen Runbooks geprüft werden.
• Rechte: Halten Sie fest, welches Konto die Schritte ausführen darf.
• Rückweg: Jeder Eingriff braucht eine Anleitung zum Rückgängigmachen.
• Ablage: Runbooks müssen auch dann erreichbar sein, wenn zentrale Systeme ausgefallen sind.

Verhältnis zu Automatisierung

Ein gut geschriebenes Runbook ist die beste Vorlage für eine Automatisierung. Umgekehrt dient das Runbook als Rückfallebene, wenn die Automatisierung ausfällt. Beides sollte deshalb gemeinsam gepflegt werden.

Typische Fehler

Häufig liegen Runbooks in einem Wiki, das bei einem Angriff selbst betroffen ist. Legen Sie deshalb eine Kopie ausserhalb der produktiven Umgebung ab. Ein zweiter Fehler sind Anleitungen, die Rechte voraussetzen, die nachts niemand hat. Prüfen Sie die Runbooks deshalb mit genau den Konten, die im Notfall verwendet werden. Veraltete Screenshots und Menüpfade sind ebenfalls ein häufiges Problem nach Updates.

So setzen wir es um

Freigegebene Response-Aktionen laufen bei uns nach festgelegten Abläufen und innerhalb Ihres Mandats.