Playbook (сценарий реагирования) в информационной безопасности – заранее подготовленный порядок действий для конкретного типа инцидента: фишинговое письмо, заражение вредоносным ПО, компрометация учётной записи, утечка данных, DDoS. Playbook описывает, кто, что и в какой последовательности делает, какие решения принимаются и какие инструменты используются.
Структура
- Условия запуска и критерии классификации инцидента.
- Сбор и обогащение данных.
- Анализ и оценка критичности.
- Сдерживание: изоляция хоста, блокировка учётной записи, адреса или домена.
- Устранение и восстановление.
- Уведомления: руководство, регуляторы (НКЦКИ, Роскомнадзор при утечке ПДн).
- Разбор и улучшения.
Автоматизация
В платформах SOAR playbook реализуется как исполняемый сценарий: обогащение индикаторов, проверки, блокировки выполняются автоматически, а ключевые решения подтверждает аналитик.
