フィッシング対応Playbookの作り方 ― チームが手作業でやらずに済むように
フィッシング対応を毎回手作業で行うと、複数のケースが同時に来たとき見落としのリスクがあります。SOAR Playbookの作り方を解説します。
フィッシング対応Playbookの作り方 ― チームが手作業でやらずに済むように
フィッシングメールが報告されるたびに、アナリストは同じ手順を繰り返します ― メールを開いて確認し、リンクが本当に悪意あるものか調べ、受信者に通知し、同じメールが届いている可能性のある他の人の受信箱からも削除する。毎回手作業で行うと、遅いだけでなく、複数のケースが同時に来たときに手順を見落とすリスクもあります。Playbook はこの手順をあらかじめバージョン管理された自動化として書き留めておき、何度でも同じように実行できるようにするものです。
この記事では、フィッシング対応playbookのライフサイクルを取り上げ、それが実際にどう動くのかを見ていきます。
Playbookとは実際には何なのか
SOARにおけるplaybookは、単なる汎用の自動化スクリプトではありません ― バージョン管理、承認、本番投入前のドライラン検証 に統制されている自動化です。書いてすぐ実行するスクリプトと違い、playbookは実際のケースに対して有効化される前にレビュープロセスを経ます。（SOAR全体の概要がまだの方は、SOARとは?で全体像を解説しています）
本番投入までにPlaybookが経る4つの段階
実際のケースに対して実行できるようになる前に、すべてのplaybookはこの4段階を順番に通過します。
1) Configuration（設定） ― 手順を組み立て、関連するシステム（フィッシングplaybookならメールゲートウェイなど）を接続します。接続済みのシステムは「connector」と呼ばれます。
2) Dry-run（ドライラン） ― 本番環境に触れずにplaybookを試験実行し、意図したとおりに手順が動くかを、実際に自動で動かす前に確認します。
3) Approval（承認） ― 権限を持つ担当者がplaybookをレビューし、承認してから有効化します。特にメール削除やホストの隔離のように実システムに影響する手順を含むplaybookでは重要です。
4) Enabled（有効化） ― 該当ケースが来るたびに自動実行される状態になります。その後も編集や、バージョン管理のためのエクスポート／インポートが可能です。
このライフサイクルの目的は、まだテストされていない自動化が誰にも気づかれないまま本番システムに触れてしまうことを防ぐことです。
Playbook Libraryが示すもの
zcrSOARのデモのPlaybook Libraryから、報告されたフィッシングメールをトリアージし、リンクを無害化し、影響を受けたユーザーに通知するフィッシング対応playbookを開くと、いまどの状態にあるかが4つのステータス欄で示されます。デモはサンプルデータで動いているため、ここでは各欄の読み方だけを説明します。
- CONFIGURATION: configured ― 必要なconnector（メールゲートウェイ）の設定・接続が完了しています
- READINESS: ready ― ドライランでのテストに合格し、実際に動かせる状態です
- APPROVAL: approved ― 権限を持つ担当者が承認済みです。誰も見ていない下書きではありません
- ACTIVATION: enabled ― 実際に稼働中で、NEXT ACTIONは「Run」ー新しい該当ケースが来た瞬間に実行できる状態です
つまり、このように表示されるplaybookは机上のものではなく、設定が済み、承認者の承認が記録され、有効化されています。実際のフィッシングメールに対応する権限を与えられる前に、そこまで進んでいるということです。
自動化があるのになぜ承認が必要なのか
一部のplaybookには、ホストの隔離やアカウントの無効化のように、実際に大きな影響を与える手順が含まれます。トリガーが誤作動した場合、自動化にすべての判断を委ねるのはリスクが高すぎます。承認ワークフローがあることで、誰かが承認する前に自動化が想定範囲を超えて動くことはないとチームが確信を持てます ― これこそが、書いてすぐ実行する単なるスクリプトとplaybookを分ける本質的な違いです。
zcrSOARはこの仕組みをどう支えているか
zcrSOARはplaybookのライフサイクル全体を支えています ― 手動での作成、AIによる生成、他所からのインポートに対応し、本番投入前にドライランで検証し、役割ベースの承認ワークフローでゲートし、チーム間のバージョン管理のためのエクスポート／インポートも可能です。アタックフローの読み方とも連携し、現在動いている各ケースがどのような攻撃パターンに直面しているかを示します。
フィッシング対応をまだすべて手作業で行っているなら、現在のケース件数と照らし合わせてzcrSOARのプランをご覧ください。
お問い合わせ
こうしたplaybookがチームの手作業をどれだけ減らせるか、気になりませんか。お気軽にご相談ください。無料でご相談いただけます。