Security Center:Playbook configuration

Tipos de playbook

O Security Center fornece dois tipos de playbooks:

• Predefined Playbook: O Security Center inclui playbooks integrados baseados em cenários e soluções comuns de ameaças de segurança. Use esses playbooks diretamente sem necessidade de configuração. Também é possível copiar um playbook predefinido para criar um personalizado e modificá-lo conforme suas necessidades, o que simplifica a criação de playbooks personalizados.

• Custom Playbook: Para cenários de ameaças de segurança complexos e altamente personalizados, o Security Center oferece playbooks personalizados flexíveis. Utilize o editor de fluxo para configurar livremente vários componentes e implementar facilmente soluções automatizadas de resposta de segurança.

Parâmetros do playbook (parâmetros de entrada e saída)

• Os parâmetros de entrada definem as condições que acionam um playbook. A seleção de diferentes condições atualiza os exemplos de parâmetros de depuração correspondentes.

• Parâmetros de saída: São os campos gerados quando um playbook é executado. Nós subsequentes podem utilizar esses campos. Também é possível usar o setOutput action para permitir que outros playbooks façam referência a eles. A sintaxe é ${event.parameter_path}.

  Nota

  Além dos parâmetros de saída personalizados, o sistema fornece parâmetros padrão. Para mais informações, consulte System parameters in playbooks.

Etapa 1: Criar informações básicas do playbook

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha Agentic SOC > Management > Response Rules. No canto superior esquerdo do console, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.

3. Na aba Custom Playbook, clique em Create Playbook.

4. No painel Create Playbook, insira um Playbook Name e uma Playbook Description, e clique em OK.

Etapa 2: Configurar o fluxo do playbook

1. Após criar o playbook, você é direcionado automaticamente para sua página de configuração. Também é possível ir à lista de playbooks personalizados e clicar em Edit na coluna Actions para acessar a página de configuração.

2. Configurar parâmetros de entrada e saída do playbook

   1. Na página Playbook Editing, clique em Settings no canto superior direito. No painel de configuração, clique em Input & Output Settings.

      Nota

      Cada fluxo deve ter um nó inicial e pode ter um ou mais nós finais.

   2. No painel Input & Output Settings, configure os parâmetros de entrada e saída do playbook. Para mais informações, consulte Playbook parameters (input and output parameters).

3. Orquestrar o fluxo de resposta

   Para orquestrar o fluxo, arraste componentes para a tela e conecte-os. Este tópico usa o componente DataFormat como exemplo. Para obter informações sobre como configurar os parâmetros de outros componentes, consulte Flow component description.

   Importante

   • O nó inicial é chamado 'event'. Portanto, não nomeie nenhum outro componente como 'event'.

   • Adicione e conecte múltiplos componentes conforme necessário.

   1. Selecionar uma ação de componente

      Na seção Basic components à esquerda, selecione o componente DataFormat. Escolha uma ação, como joindata ou convertToJSON, e arraste-a para a tela.

   2. Configurar parâmetros do componente

      Para configurar os parâmetros de um componente, clique nele na tela. Alternativamente, na página de configuração Basic Information, na seção Action Configuration, clique em para acessar a página de configuração de parâmetros. Para mais informações sobre configurações de parâmetros, consulte DataFormat component.

      • Insira constantes, parâmetros variáveis, parâmetros de sistema e expressões. Para mais informações, consulte Component parameters and node execution flow.

      • Também é possível configurar parâmetros manualmente. Na caixa de entrada de um nó, selecione um parâmetro na lista suspensa para gerar a sintaxe correspondente.

        Por exemplo, a expressão variável para o parâmetro de saída hackerIP é ${InputCheck.datalist.*.records.*hackerIP}, onde InputCheck é o nome do nó upstream. Na lista suspensa do nó, selecione nós upstream como InputCheck, dataSetFilter e SiemEventFormat.

4. Após configurar o componente, clique em Save na barra de menu superior esquerda.

   Aviso

   Se você sair sem salvar, as informações de fluxo editadas serão perdidas.

Etapa 3: Depurar o fluxo

Após construir o playbook, depure-o para garantir que ele execute conforme o esperado.

1. Definir um breakpoint (Opcional):

   • Descrição: Para verificar uma etapa específica em um fluxo complexo, defina um breakpoint em um componente. Durante a depuração, o fluxo executa até o ponto upstream do breakpoint e pausa. Isso permite verificar resultados intermediários.

     Importante

     • Se o fluxo tiver múltiplas ramificações, o sistema depura apenas a ramificação onde o breakpoint está definido.

     • Se você definir múltiplos breakpoints na mesma ramificação, apenas o último breakpoint terá efeito.

   • Procedimento: Clique no ícone em um nó para definir um breakpoint.

2. Iniciar depuração

   1. Clique no ícone de depuração no canto superior esquerdo. No painel Debug Parameters, clique em Debug.

      Nota

      Os parâmetros de depuração variam com base nos tipos de parâmetros de entrada configurados para o playbook.

   2. Carregar parâmetros de amostra:

      1. Clique em Example.

      2. Na página View Sample Input, clique em Load Sample.

   3. Modificar parâmetros: Modifique os parâmetros conforme necessário e clique em OK.

      Nota

      Para facilitar a edição, o sistema fornece um Visual Mode intuitivo.

3. Visualizar o resultado da depuração

   Clique no ícone em um nó ou clique em Run Logs na área de depuração para visualizar os detalhes de execução do nó, incluindo entrada, saída e status. A tabela a seguir descreve alguns dos parâmetros de saída.

   Parâmetro	Descrição
   datalist	Uma prévia dos dados resultantes. Importante No máximo três entradas são exibidas na prévia. Para visualizar todos os dados, acesse a aba Complete Output Result.
   total_data_successful	O número de itens de dados processados com sucesso.
   total_data	O número total de itens de dados processados.
   total_exe_successful	O número de vezes que a ação atual foi executada com sucesso.
   total_exe	O número total de vezes que a ação atual foi executada.
   total_data_with_dup	O número de itens de dados únicos processados com sucesso.

Etapa 4: Salvar e publicar

Depois que o playbook passar pela depuração, clique em Publish na barra de menu superior esquerda para publicar o playbook.

Reversão de playbook

Para restaurar um playbook publicado para uma versão anterior, faça a reversão. Siga estas etapas:

1. Na aba Custom Playbook, localize o playbook que deseja reverter. Na coluna Actions, clique em Details. Na aba Basic Information, visualize o histórico de versões do playbook na seção Publish History.

2. (Opcional) Teste a versão: Selecione a versão para a qual deseja reverter e clique em View na coluna Actions para abrir a aba do playbook. Na área Input Parameters (Run), teste a versão selecionada.

3. Selecione a versão para a qual deseja reverter e clique em Roll Back to Edit ou Roll Back and Publish na coluna Actions.

   • Roll Back and Publish: Substitui o rascunho atual no editor pela versão selecionada e a publica.

   • Roll Back to Edit: Substitui o rascunho atual no editor pela versão selecionada.

Importação de playbook

1. Na barra de menu do editor de fluxo, clique em More e selecione Import JSON.

2. Na página de importação, carregue o arquivo JSON e clique em OK.

Registros de execução de playbook

Na lista de playbooks, clique no ID de um playbook ou em Details na coluna Actions para abrir sua página de detalhes. Os registros básicos de execução estão disponíveis na aba Execution History.

Renomear um playbook

Na lista de playbooks, clique no ID de um playbook ou em Details na coluna Actions para abrir sua página de detalhes. Na aba Basic Information, clique em Edit ao lado do nome do playbook.

Erros de orquestração de playbook

Erros de execução de componente