Bir güvenlik ekibi aynı türden onlarca alarmla her gün boğuşurken, her seferinde sıfırdan karar vermek hem yavaş hem de hataya açıktır. Oyun kitabı tasarımı, tam da bu tekrar eden yanıtları önceden düşünülmüş, adımları belli bir iş akışına dönüştürme çabasıdır. Amaç, analistin yerine geçmek değil; rutin ve mekanik olanı makineye devrederek insan zihnini gerçekten muhakeme gerektiren kararlara ayırmaktır.

Otomasyonun çatısını kuran katman

Oyun kitapları, farklı güvenlik araçlarını tek bir orkestra gibi yöneten SOAR platformları üzerinde hayat bulur. Bir alarm geldiğinde platform; ilgili logları toplar, tehdit istihbaratı kaynaklarını sorgular, bir IP’yi engeller ya da bir kullanıcı hesabını askıya alır. Bu adımların hangi sırayla ve hangi koşulda çalışacağını belirleyen mantık ise oyun kitabının kendisidir; iyi tasarlanmış bir akış, dakikalar süren manuel bir zinciri saniyelere indirir.

İyi bir oyun kitabı, ekibin en tecrübeli analistinin kararlarını herkesin tekrar edebileceği bir akışa dönüştürür.

Plandan akışa

Bir oyun kitabı boşlukta doğmaz; kurumun daha üst düzeydeki Olay müdahale planı belgesinde tanımlanan rolleri, yetki sınırlarını ve tırmandırma kurallarını somut adımlara çevirir. Plan “kimlik avı bildirimlerinde şu birim devreye girer” der; oyun kitabı ise bunu “şu koşul sağlandığında şu araç şu aksiyonu alır, sonra şu kişiyi bilgilendirir” diye ifade eder. Bu yüzden tasarım, teknik bir çizim olmadan önce kurumun kendi süreçlerini netleştirme egzersizidir.

Tasarımın kalbinde otomasyonla insan onayı arasındaki denge yatar. Bir şüpheli e-postayı karantinaya almak güvenle otomatikleştirilebilirken, kritik bir sunucuyu ağdan koparmak çoğu zaman bir insanın onayını gerektirir. Olgun bir Olay müdahale anlayışı, bu iki ucu birbirine karıştırmaz; düşük riskli, geri alınabilir adımları tam otomatiğe bırakırken yüksek etkili kararları bilinçli olarak bir insan kapısının arkasında tutar.

İyi bir oyun kitabının özellikleri

• Tekrarlanabilir: aynı olayda her seferinde aynı adımları uygular
• Denetlenebilir: her aksiyonun kaydını tutar ve geriye dönük incelemeye açar
• Aşamalı: geri alınamaz adımlarda insan onayı bekler
• Bakımı yapılan: değişen tehditlere göre düzenli olarak gözden geçirilir

Yaşayan bir belge olarak sürdürmek

Bir oyun kitabı yazıldığı gün mükemmel olsa bile, tehditler ve altyapı değiştikçe eskir; körü körüne çalışan güncel olmayan bir otomasyon, hiç otomasyon olmamasından daha tehlikeli olabilir. Bu yüzden tasarım kadar sürekli test ve revizyon da önemlidir. Privia Security, olay inceleme ve olay müdahalesi hizmeti kapsamında oyun kitaplarını yalnızca kurmaz; gerçek olaylardan çıkan derslerle bunları düzenli olarak keskinleştirir ve ekibin kararlarını yansıtan yaşayan belgeler olarak tutulmasını sağlar.