Что такое авто-расследование
Цель авто-расследования — чтобы кейс расследовал себя сам от A до Z: подтверждённые на кейсе техники MITRE ATT&CK решают, что делать, investigation workbook держит план в виде чек-листа шагов, сгруппированных по фазам, а плейбуки реально исполняют шаги. Вместо того чтобы аналитик руками прокликивал каждое обогащение и pivot, платформа диспатчит нужные плейбуки по фазам, закрывает закрытые ими шаги workbook'а и переходит к следующей фазе — останавливаясь только там, где человек действительно должен решить (одобрить деструктивное действие или закрыть шаг без автоматизации).
Это собирается тремя инкрементами — независимыми переключателями, которые можно включать постепенно:
- Сделать управляемым (P1). Видимый тумблер «Auto-orchestrate» на типе инцидента, засеянные назначения шаг→плейбук (кнопки «Run playbook») и всегда-видимые Confirm/Dismiss на кандидатах-техниках MITRE.
- Шкала автономии (P2). Шкала L1 / L2 / L3 на кейс, которая решает, сколько можно выполнять без approval.
- Авто-цикл (P3). Успешные выполнения плейбуков закрывают шаги workbook'а, и расследование каскадирует от фазы к фазе без ручных кликов.
Гайд описывает сборку на стенде на дату написания. Набор элементов зависит от ваших прав и включённых модулей.