Arcana Playbooks
Overzicht
Arcana Playbooks bieden gestructureerde, operationele incident response-workflows voor veelvoorkomende en impactvolle security-incidenten.
Elk playbook is bedoeld om responders tijdens actieve incidenten te ondersteunen met:
- Duidelijke responsdoelen
- Richtlijnen voor escalatie
- Beslispunten
- Gekoppelde runbooks
- Containment-workflows
- Coördinatie van de recovery
- Post-incidentacties
Playbooks zijn bewust Markdown-first, zodat teams ze kunnen:
- Snel klonen en in gebruik nemen
- Integreren in hun bestaande tooling
- Aanpassen aan hun eigen omgeving
- Eenvoudig verbeteren en die verbeteringen bijdragen
Structuur
Elk playbook volgt een standaard operationele structuur, zodat responders een incident steeds op dezelfde manier doorlopen:
- Doel & scope: wanneer het playbook van toepassing is en wat buiten de scope valt.
- Incidentidentificatie & criteria: triggercondities en richtlijnen voor de severity.
- Rollen & verantwoordelijkheden: de responsrollen en ondersteunende teams.
- Eerste acties: het incident valideren, de documentatie starten, met links naar triage-runbooks.
- Onderzoek & analyse: bewijsmateriaal verzamelen, analyse uitvoeren, met links naar analysis- en evidence-runbooks.
- Containment, eradication & recovery: links naar containment-, eradication- en recovery-runbooks.
- Communicatie & escalatie: interne en externe communicatielijnen en escalatiecriteria naar verwante playbooks.
- Post-incidentactiviteiten: lessons learned, hardening en vervolgwerk.
- Referenties & gekoppelde bronnen: alle gekoppelde playbooks, runbooks en SOP's die de workflow gebruikt.
- Bijlagen: verwachte output, veelvoorkomende valkuilen, contacten of ondersteunende notities.
Relatie met runbooks en SOP's
Playbooks geven de workflow op scenarioniveau. Ze herhalen geen gedetailleerde taakinstructies als er een bestaand runbook of een bestaande SOP is om naar te verwijzen.
- Runbooks worden gekoppeld voor technische taken, zoals bewijsmateriaal veiligstellen, alert-triage, analyse, containment, recovery en hardening na het incident.
- SOP's worden gekoppeld voor herhaalbare processen over teams heen, zoals paging, overdracht tussen regio's, communicatie met directie en Legal, communicatie met leveranciers, gebruikersnotificatie en verificatie van medewerkers.
Voorbeeld
PB-014-lost-stolen-device.md
├── SOP-006-employee-verification.md
├── RB-TRIAGE-006-lost-stolen-device-validation.md
├── RB-EVIDENCE-002-host-log-acquisition.md
├── RB-ANALYSIS-032-device-security-posture-assessment.md
├── RB-CONTAIN-011-remote-device-lock-wipe.md
└── RB-RECOVERY-003-user-recovery-access-restoration.md
Huidige playbooks
| ID | Playbook | Status |
|---|---|---|
| PB-001 | Phishing | Operationeel |
| PB-002 | Ransomware | Operationeel |
| PB-003 | Endpoint-malware | Operationeel |
| PB-004 | Account takeover | Operationeel |
| PB-005 | Data-exfiltratie | Operationeel |
| PB-006 | Insider threat | Placeholder |
| PB-007 | Cloud compromise | Operationeel |
| PB-008 | Aanval op webapplicatie | Operationeel |
| PB-009 | Privilege escalation | Operationeel |
| PB-010 | Lateral movement | Operationeel |
| PB-011 | Verdachte uitvoering | Operationeel |
| PB-012 | Compromittering van een derde partij | Operationeel |
| PB-013 | DDoS | Operationeel |
| PB-014 | Verloren / gestolen apparaat | Operationeel |
| PB-015 | Actieve exploitatie | Operationeel |
| PB-016 | Business email compromise | Operationeel |
| PB-017 | Vulnerability response | Operationeel |
| PB-018 | Zero-day response | Operationeel |
| PB-019 | Management van een major security incident | Operationeel |
Ontwerpprincipes
Arcana-playbooks zijn ontworpen rond de volgende principes:
Operationeel eerst
Playbooks zijn geschreven voor responders die midden in een actief incident zitten, niet als compliancedocumentatie.
Markdown-native
Alle inhoud is platte Markdown, voor:
- overdraagbaarheid
- versiebeheer
- offline toegang
- geschiktheid voor automatisering
Gericht op uitvoering
Playbooks geven antwoord op:
"Wat doen we nú?"
in plaats van alleen theorie op hoog niveau.
Uitbreidbaar
Teams worden aangemoedigd om:
- workflows aan te passen
- verwijzingen naar tooling aan te passen
- verbeteringen bij te dragen
- integraties voor automatisering te bouwen
Aanbevolen werkwijze
Tijdens een incident:
- Bepaal welk playbook van toepassing is
- Volg de gekoppelde runbooks op volgorde
- Escaleer op basis van de beslispunten
- Documenteer acties en bevindingen
- Rond de post-incidentactiviteiten af
Verwante onderdelen
Arcana bestaat uit een aantal onderling verbonden onderdelen:
| Onderdeel | Doel |
|---|---|
| Playbooks | Responsworkflows op hoog niveau |
| Runbooks | Gedetailleerde operationele procedures |
| SOP's | Gestandaardiseerde operationele processen |
| KB-artikelen | Technisch naslagmateriaal |
| PIR's | Post-incidentreviews |
| Templates | Templates voor rapportage en communicatie |
Geplande uitbreidingen
- Operationele workflows op basis van notebooks
- Response-as-code-integraties
- SOAR-automatiseringsmappings
- ATT&CK-mappings
- PR3TACK-mappings voor proactieve respons
- Integratie met detection engineering
- Generatie van een statische documentatiesite
Richtlijnen voor bijdragen
Bijdragen moeten vooral gericht zijn op:
- Operationele helderheid
- Toepasbaarheid in de praktijk
- Leveranciersneutrale richtlijnen waar mogelijk
- Consistente opmaak
- Uitvoerbare workflows
Vermijd:
- Overmatige theorie
- Zware compliancetaal
- Afhankelijkheid van specifieke tools, tenzij noodzakelijk
Statusdefinities
| Status | Betekenis |
|---|---|
| Operationeel | Playbook geldt als productierijp |
| Placeholder | Structuur vastgesteld, inhoud in ontwikkeling |
| Experimenteel | Wordt actief getest of verfijnd |
Licentie
Zie de licentie in de root van de repository voor de voorwaarden voor gebruik en bijdragen.