Kann man Fusion-SOAR-Playbooks selbst bauen?

Für viele Fälle ja: Der Editor ist gut bedienbar und die mitgelieferten Vorlagen decken Standardfälle ab. Externe Unterstützung lohnt sich vor allem bei Abläufen über mehrere Systeme hinweg, bei Eingriffen mit spürbaren Folgen und bei bestehenden Automatisierungen, denen im Team niemand mehr traut.

Werden auch bestehende Playbooks übernommen?

Ja. Vorhandene Abläufe werden zuerst auf Verhalten im Fehlerfall, doppelte Ausführung, Reichweite eines Laufs und Erkennbarkeit stiller Ausfälle geprüft. Meist sind das gezielte Ergänzungen und kein Neubau.

Wir automatisieren weg, was Ihr Team jede Woche von Hand macht.

Falcon Fusion SOAR ist in der Plattform enthalten, ohne Zusatzlizenz. Wir bauen daraus Abläufe für Anreicherung, Reaktion, Berechtigungen und Berichte, und halten sie im Betrieb aktuell.

Automatisierung besprechen

Akuter Sicherheitsvorfall? 24/7-Notfall +49 89 2000 7683

This is some text inside of a div block.

Der Verlauf

Was nach dem ersten Playbook passiert.

Automatisierung fängt bei den meisten Teams mit einer einzelnen Aufgabe an, die jede Woche wiederkommt. Von dort wächst sie schneller als erwartet, weil jeder gebaute Ablauf den nächsten billiger macht: Die Anbindungen stehen schon, Freigabelogik und Benachrichtigungswege sind einmal geklärt.

Woche 1

Der erste Ablauf läuft.

Eine klar umrissene Aufgabe, meist Anreicherung oder eine wiederkehrende Prüfung. Sie fällt bei jedem Fall an, deshalb ist die Ersparnis vom ersten Tag an spürbar.

Monat 1

Die Anbindungen stehen.

Ticketsystem, Verzeichnisdienst, Messenger und Mail sind einmal sauber verbunden. Jedes weitere Playbook nutzt sie mit, statt sie neu aufzubauen.

Monat 3

Eingriffe kommen dazu.

Sperren, isolieren, Zugangsdaten zurücksetzen, Berechtigungen befristen. Mit Obergrenze für einen einzelnen Lauf, menschlicher Bestätigung dort, wo es weh tun kann, und einem definierten Weg zurück.

Laufender Betrieb

Die Arbeit taucht nicht mehr auf.

Anreicherung, Reaktion, Berechtigungen und Berichte laufen ohne Zutun. Was Ihr Team noch anfasst, sind die Fälle, die tatsächlich eine Entscheidung brauchen.

Jeder Ablauf, der einmal steht, macht den nächsten günstiger. Deshalb lohnt sich der Einstieg bei einer Aufgabe, die täglich anfällt, und nicht bei der kompliziertesten.

Handwerk

Warum es auch nach zwölf Monaten noch läuft.

Einen Ablauf zusammenzuklicken bekommt jeder hin, der die Prozesse kennt. Dass ein Team ihm auch im zwölften Monat noch vertraut, entscheidet sich an fünf Fragen, die wir vor dem ersten Klick klären.

Was soll passieren, wenn ein Schritt scheitert?

Abbrechen, später erneut versuchen, den Rest trotzdem ausführen oder einen Menschen holen: je nach Schritt ist etwas anderes richtig. Ein Ablauf, in dem diese Frage nie gestellt wurde, funktioniert nur, solange nichts dazwischenkommt.

Was passiert, wenn derselbe Auslöser zweimal feuert?

Zwei Tickets für einen Vorfall, zwei Sperrungen desselben Kontos, zwei Mails an dieselbe Führungskraft. Ärgerlich bei Benachrichtigungen, ernst bei Eingriffen und schwer zu reparieren, wenn es unbemerkt über Wochen läuft.

Wie viel darf ein einzelner Lauf anfassen?

Zwischen „isoliert einen Host“ und „isoliert vierzig Hosts“ liegt der Unterschied zwischen einer Reaktion und einem Betriebsausfall. Automatisierung ohne Obergrenze ist ein Hebel, den auch ein Fehlalarm bedienen kann.

Wer merkt es, wenn nichts mehr passiert?

Ein Ablauf, der ausfällt, meldet sich nicht. Er fehlt einfach, und in einem gut funktionierenden Betrieb fällt Stille nicht auf. Deshalb gehört zu jeder Automatisierung die Frage, woran ihr Ausbleiben zu erkennen ist.

Und wenn die Gegenstelle antwortet, aber zu spät?

Ein Ticketsystem, das vierzig Sekunden braucht. Ein Verzeichnisdienst, der die Änderung erst nach Minuten übernimmt. Der Ablauf läuft weiter und trifft Entscheidungen auf Basis eines Zustands, den es noch gar nicht gibt.

Aus einem Projekt

USB-Ausnahmen ohne einen einzigen Klick in der Konsole.

Ein Pharmakonzern mit rund 60.000 Mitarbeitenden vergibt befristete USB-Ausnahmen inzwischen vollständig automatisiert, von der Beantragung bis zum Entzug. Der Teil, der dabei am meisten Handarbeit ersetzt, ist die Rücknahme.

Pharma · rund 60.000 Mitarbeitende

Ausgangslage

USB-Speicher ist unternehmensweit gesperrt, und das bleibt auch so. Trotzdem gibt es legitime Ausnahmen: ein Techniker, der zwei Tage lang an ein Gerät muss; ein Labor, das Messdaten überträgt. Bisher lief das über Tickets, Zurufe und Handarbeit in der Konsole: langsam, uneinheitlich und im Nachhinein schwer zu belegen.

Was wir gebaut haben

Der Antrag läuft im Ticketsystem des Kunden, die Führungskraft gibt frei. Ab dort übernimmt Falcon: Die Berechtigung wird automatisch auf genau das beantragte Gerät gesetzt, in der beantragten Reichweite und erst ab dem beantragten Datum, nicht schon bei Genehmigung.

Der eigentliche Punkt

Die Freigabe nimmt sich selbst wieder zurück. Ein zweiter, zeitgesteuerter Ablauf prüft täglich, welche Ausnahmen abgelaufen sind, und entzieht sie. Ohne diesen Teil wäre nach einem Jahr ein großer Teil der Geräte dauerhaft freigeschaltet.

Was jetzt anders ist

Befristete Freigaben zwischen drei und dreißig Tagen, ohne einen einzigen manuellen Eingriff in der Konsole. Jede Ausnahme ist beantragt, genehmigt, befristet und im Nachhinein nachweisbar.

Was wir übernehmen

Was sich sinnvoll automatisieren lässt.

Wir bauen entlang Ihrer Abläufe, statt einen Katalog fertiger Playbooks abzusetzen. Diese fünf Felder decken erfahrungsgemäß den größten Teil dessen ab, was Analysten- und IT-Zeit frisst.

Anreicherung

Kontext an einen Alarm hängen, bevor ein Mensch ihn öffnet: Bewertung des Indikators, Vorgeschichte des Systems, Zuständigkeiten. Spart pro Fall nur Minuten, dafür bei jedem Fall.

Reaktion mit Freigabe

Eindämmen, sperren, Zugangsdaten zurücksetzen. Wo der Eingriff weh tun kann, mit Bestätigung durch einen Menschen und mit einem Weg zurück, falls die Entscheidung falsch war.

Anbindung Ihrer Systeme

Ticketsystem, Verzeichnisdienst, Messenger, Mail, SIEM. Damit ein Vorfall dort auftaucht, wo Ihre Prozesse ohnehin laufen, statt in einer weiteren Oberfläche, die jemand offen halten muss.

Antrags- und Berechtigungsprozesse

Wie im Beispiel oben: beantragt, freigegeben, befristet, automatisch entzogen. Der Bereich, in dem Automatisierung am meisten Handarbeit ersetzt und am gründlichsten durchdacht sein muss.

Hygiene und Berichte

Wiederkehrende Prüfungen, Aufräumarbeiten, Zusammenfassungen für Leitung und Audit. Unspektakulär, aber genau die Arbeit, die sonst liegen bleibt, bis jemand danach fragt.

Und danach?

Automatisierungen altern: Systeme werden ausgetauscht, Schnittstellen ändern sich, Prozesse verschieben sich. Auf Wunsch bleiben wir deshalb auf den Playbooks, mit laufender Pflege, Anpassung an geänderte Abläufe und Erweiterung um neue Fälle. Wer lieber selbst übernimmt, bekommt sie dokumentiert übergeben.

Grenze

Wo ein Playbook endet.

Ein Playbook genügt, wenn …

der Ablauf sich aus vorhandenen Schritten zusammensetzen lässt

niemand dafür eine eigene Oberfläche braucht

die Daten nur durchlaufen und nicht dauerhaft geordnet abgelegt werden müssen

Auswertung über die vorhandenen Dashboards funktioniert

Es braucht mehr, wenn …

ein Schritt gebraucht wird, den es in Fusion SOAR nicht gibt

Ihr Team eine eigene Ansicht in Falcon braucht, um damit zu arbeiten

Daten über Läufe hinweg strukturiert vorgehalten werden müssen

der Ablauf so groß wird, dass ihn im Editor niemand mehr überblickt

Sobald die rechte Spalte zutrifft, wird aus dem Playbook eine Anwendung. Dann entwickeln wir in Falcon Foundry, entweder als einzelnen Baustein für Ihr bestehendes Playbook oder als vollständige App. Wie das aussieht, steht auf der Seite zur Foundry App-Entwicklung. Meistens ist das nicht nötig, und wir sagen das auch.

Häufige Fragen

Was vor dem ersten Gespräch meist geklärt wird.

Was ist CrowdStrike Falcon Fusion SOAR?

Fusion SOAR ist die Automatisierungsfunktion der CrowdStrike-Falcon-Plattform. Aus Auslösern, Bedingungen und Aktionen lassen sich damit Abläufe bauen, die auf Sicherheitsereignisse reagieren, nach Zeitplan laufen oder von außen angestoßen werden. Fusion SOAR ist in der Plattform enthalten und benötigt keine separate SOAR-Lizenz.

Brauchen wir zusätzlich ein eigenes SOAR-Produkt?

Für Sicherheitsteams, deren Arbeit im Wesentlichen in Falcon stattfindet, in aller Regel nicht: Fusion SOAR greift direkt auf Falcon-Daten und -Aktionen zu, ohne Umweg über eine Schnittstelle. Ein eigenständiges SOAR-Produkt lohnt sich vor allem dann, wenn ein großer Teil Ihrer Automatisierung außerhalb des Falcon-Umfelds liegt.

Können wir Playbooks nicht selbst bauen?

Für viele Fälle ja. Der Editor ist gut bedienbar und die mitgelieferten Vorlagen decken die Standardfälle ab. Geholt werden wir meist für das, was danach kommt: Abläufe über mehrere Systeme hinweg und Eingriffe mit spürbaren Folgen.

Wie lange dauert es, bis das erste Playbook läuft?

Ein einzelner, klar umrissener Ablauf steht meist innerhalb weniger Tage, einschließlich der Fälle, in denen er nicht durchläuft. Bei Vorhaben mit Anbindung an Ticketsystem oder Verzeichnisdienst gibt die Abstimmung mit den dortigen Verantwortlichen den Takt vor, nicht der Bau selbst.

Was passiert, wenn eine Automatisierung etwas Falsches tut?

Diese Frage gehört vor den Bau. Zu jedem Eingriff gehören eine Obergrenze, wie viel ein einzelner Lauf verändern darf, und ein definierter Weg zurück. Wo die Folgen spürbar sind, bestätigt weiterhin ein Mensch; automatisiert wird die Ausführung.

Übernehmen Sie auch bestehende Playbooks?

Ja, das ist ein häufiger Einstieg. Wir sehen uns vorhandene Abläufe zuerst auf die Punkte an, die auf dieser Seite stehen: Verhalten im Fehlerfall, doppelte Ausführung, Reichweite eines Laufs, Erkennbarkeit eines stillen Ausfalls. Meist sind das gezielte Ergänzungen und kein Neubau.

Betreiben Sie die Playbooks danach weiter?

Auf Wunsch ja: laufende Pflege, Anpassung an geänderte Prozesse und Erweiterung um neue Fälle. Genauso möglich ist die dokumentierte Übergabe an Ihr Team.