किसी SOC में आप सबसे पहले क्या automate करेंगे, और क्या automate करने से इनकार करेंगे?

फैसलों से पहले enrichment automate करें। सबसे कीमती पहली playbook हर alert पर संदर्भ जुटाती है (asset का मालिक और अहमियत, यूजर की जानकारी, reputation lookup, जुड़े हुए alert, खुले change ticket) ताकि एनालिस्ट पूरी तस्वीर से शुरू करें। पलटी जा सकने वाली रोकथाम automate करें, जैसे दोबारा authentication करवाना या कोई hash block करना। account बंद करने या production server अलग करने जैसे विनाशकारी या बड़े blast radius वाले कदमों के लिए इंसानी मंजूरी रखें।

पहली playbook हमेशा enrichment होती है, क्योंकि वह सुरक्षित है, हर तरह के alert पर लागू होती है, और triage पर हावी रहने वाला दस मिनट का tab खोलना खत्म कर देती है। asset का मालिक और अहमियत, यूजर का विभाग और manager, हर observable पर reputation, पिछले हफ्ते उन्हीं entity पर जुड़े alert, और कोई भी खुला change ticket, यह सब किसी इंसान के पढ़ने से पहले केस से जुड़ जाता है। उसके बाद मैं पलटी जा सकने वाली प्रतिक्रियाएं automate करता हूं: दोबारा authentication करवाना, session रद्द करना, endpoint tool में कोई hash block करना, कोई domain sinkhole करना। जो मैं पूरी तरह automate नहीं करूंगा वह है बड़े blast radius या मुश्किल से पलटने वाली कोई भी चीज। ऐसे rule पर account अपने आप बंद करना जो false positive दे सकता है, यही वह तरीका है जिससे आप सोमवार सुबह नौ बजे पूरा विभाग ठप कर देते हैं। उनके लिए सबूत के साथ एक click वाली मंजूरी रखी जाती है। और मैं खुद automation पर नजर रखता हूं, क्योंकि किसी API का version बदलने पर playbook चुपचाप सड़ जाती हैं, इसलिए मुझे एक heartbeat और नाकामी का alert चाहिए, न कि किसी incident के बीच यह पता चले कि enrichment महीने भर पहले से बंद पड़ी है।