# 執行手冊
<a name="runbooks"></a>

 偵測到安全異常情況時，隔離事件及返回正常狀態是回應計劃重要的元素。例如，如果由於安全組態設定不當而發生異常，修復的方法可能就是透過使用適當的組態，重新部署資源以移除變異那麼簡單。若要這樣做，您需要提前規劃並定義自己的安全回應程序，這些步驟通常稱為執行手冊。 

 *執行手冊*是組織執行一或多個任務之程序的文件記錄形式。此文件通常存放在內部數位系統或紙本形式。您目前可能已有事件回應執行手冊，否則就需要建立一份，以便符合安全保證架構。但是，當您手動遵循書面執行手冊，您會增加犯錯的可能性。因此，我們建議自動執行所有可重複的任務。自動化可讓您的回應團隊擺脫常見任務，將精力投注於更重要的任務，例如關聯事件、模擬練習、設計新的回應程序、進行研究、開發新技能以及測試或建置新工具。但是，在將任務分解為可程式化的邏輯並反覆迭代到正確的自動化之前，您必須先編寫執行手冊。 

## 建立執行手冊
<a name="creating-runbooks"></a>

 若想為雲端建立執行手冊，我們建議您先專注於目前產生的警示。如果產生警示，請務必調查該警示。從定義所執行手動程序的描述開始。在此之後，請測試程序並反覆查看執行手冊的模式，以改善您所作回應的核心邏輯。應判斷例外狀況，以及這些情境的其他解決方案有哪些。例如，在開發環境中，不妨終止組態錯誤的 Amazon EC2 執行個體。但是，如果生產環境中發生相同的事件，與其終止執行個體，您可以停止執行個體，向利害關係人確認重要資料不會遺失，並且可接受終止。

 確定最佳解決方案後，就可以將邏輯解構成為以程式碼為基礎的解決方案，許多回應人員可將其做為工具使用，以做到自動回應，並免除回應人員面對的變通或猜測。這可加快回應的生命週期。下一個目標是透過提醒或事件本身叫用 (而不是由回應人員執行)，讓此程式碼能夠完全自動化。

## 入門
<a name="getting-started"></a>

 如果您不確定從何處開始，請考慮從 [AWS Trusted Advisor](https://aws.amazon.com/premiumsupport/technology/trusted-advisor/)、[AWS Security Hub 的基本安全最佳實務](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-standards-fsbp.html)以及 [AWS Config 規則](https://aws.amazon.com/config/) (包括 [AWS Config 規則 Gitthub 儲存庫](https://github.com/awslabs/aws-config-rules)) 產生的警示開始。然後，專注於由服務產生的事件，這些事件將描述您所關心的系統。

Amazon GuardDuty 和存取分析器可描述應用程式在 AWS 中使用的許多網域，這就是通常建議使用它們的原因；然而，Amazon Inspector 和 Amazon Macie 對於具有資料和終點問題的網域，則具有特定用途。如需 Amazon GuardDuty 問題清單的資訊，請參閲《[Amazon GuardDuty 使用者指南](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-types.html)》。存取分析器問題清單可在《Amazon Access Analyzer 使用者指南》中找到。Macie 問題清單可在《Amazon Macie 使用者指南》中找到。Amazon Inspector 問題清單可在《Amazon Inspector 使用者指南》中找到。Security Hub 讓您能夠將這些問題清單統一放到一個位置，並迅速對其作出一致回應，因此我們建議將其作為修補的中心位置。

當問題清單或警示發生任何變化時，上述所有服務都會透過 Amazon CloudWatch Events 傳送通知，包括新產生的警示和現有警示的更新。您可以設定 Amazon CloudWatch Events 規則，來觸發 AWS Lambda 函數執行事件驅動的回應。不過，建構自訂洞察並從應用程式網域新增您自己的問題清單的能力，可增加使用 Security Hub 的重要理由。如需詳細資訊，請參閱[事件驅動回應](event-driven-response.md)一節。