Was würdest du in einem SOC zuerst automatisieren, und was würdest du nicht automatisieren?

Automatisier Anreicherung vor Entscheidungen. Das erste Playbook mit dem höchsten Wert sammelt Kontext zu jedem Alert (Asset-Owner und Kritikalität, Nutzerdetails, Reputationsabfragen, verwandte Alerts, offene Change-Tickets), damit Analysten mit einem vollständigen Bild starten. Automatisier umkehrbare Eindämmung wie erzwungene Neuauthentifizierung oder das Blocken eines Hashes. Behalt menschliche Freigabe für zerstörerische Aktionen mit großem Blast Radius wie das Deaktivieren von Konten oder das Isolieren von Produktionsservern.

Das erste Playbook ist immer Anreicherung, denn sie ist sicher, gilt für jeden Alert-Typ und nimmt die zehn Minuten Tab-Öffnen weg, die die Triage dominieren. Asset-Owner und Kritikalität, Abteilung und Führungskraft des Nutzers, Reputation zu jedem Observable, verwandte Alerts auf denselben Entitäten in der letzten Woche und jedes offene Change-Ticket, alles am Fall hängend, bevor ein Mensch ihn liest. Danach automatisiere ich umkehrbare Reaktionen: Neuauthentifizierung erzwingen, Sessions widerrufen, einen Hash im Endpoint-Tool blocken, eine Domain sinkholen. Was ich nicht vollständig automatisiere, ist alles mit großem Blast Radius oder schwerer Umkehrbarkeit. Konten automatisch über eine Regel zu deaktivieren, die False Positives haben kann, ist der Weg dazu, montags um neun eine ganze Abteilung lahmzulegen. Solche Dinge bekommen stattdessen eine Ein-Klick-Freigabe mit angehängter Beweislage. Und ich überwache die Automatisierungen selbst, denn Playbooks verrotten still, wenn sich eine API-Version ändert, ich will also einen Heartbeat und einen Fehler-Alert, statt mitten im Incident zu entdecken, dass die Anreicherung seit einem Monat nicht mehr läuft.