building-incident-response-dashboard

Construindo Dashboard de Resposta a Incidentes

Quando Usar

Use esta skill quando:

• Equipes de IR precisam de dashboards em tempo real durante incidentes ativos para coordenação e rastreamento
• A liderança do SOC necessita de dashboards operacionais mostrando o status dos incidentes e a carga de trabalho dos analistas
• Revisões pós-incidente exigem linhas do tempo visuais e avaliações de impacto
• Briefings executivos necessitam de métricas de incidentes de alto nível e análise de tendências

Não use para dashboards de monitoramento diário do SOC (use Incident Review) — os dashboards de IR são projetados para coordenação ativa de incidentes e relatórios gerenciais.

Pré-requisitos

• Plataforma SIEM (Splunk com Dashboard Studio, Elastic Kibana ou Grafana)
• Dados de eventos notáveis e incidentes no SIEM (índice incident_review do Splunk ES)
• Integração com sistema de tickets (ServiceNow, Jira) para rastreamento de remediação
• Tabelas de consulta de ativos e identidades para enriquecimento de contexto
• Acesso de publicação de dashboard para a equipe SOC e distribuição gerencial

Workflow

Etapa 1: Projetar Layout do Dashboard de Incidente Ativo

Construa um dashboard no Splunk Dashboard Studio para rastreamento de incidente ativo:

<dashboard version="2" theme="dark">
  <label>Active Incident Response Dashboard</label>
  <description>Real-time tracking for IR-2024-0450</description>

  <row>
    <panel>
      <title>Incident Summary</title>
      <single>
        <search>
          <query>
| makeresults
| eval incident_id="IR-2024-0450",
       status="CONTAINMENT",
       severity="Critical",
       affected_hosts=7,
       contained_hosts=5,
       iocs_identified=23,
       hours_elapsed=round((now()-strptime("2024-03-15 14:00","%Y-%m-%d %H:%M"))/3600,1)
| table incident_id, status, severity, affected_hosts, contained_hosts, iocs_identified, hours_elapsed
          </query>
        </search>
      </single>
    </panel>
  </row>
</dashboard>

Etapa 2: Construir Painel de Sistemas Afetados em Tempo Real

Rastreie sistemas afetados e seu status de contenção:

| inputlookup ir_affected_systems.csv
| eval status_color = case(
    status="Contained", "#2ecc71",
    status="Compromised", "#e74c3c",
    status="Investigating", "#f39c12",
    status="Recovered", "#3498db",
    1=1, "#95a5a6"
  )
| stats count by status
| eval order = case(status="Compromised", 1, status="Investigating", 2,
                    status="Contained", 3, status="Recovered", 4)
| sort order
| table status, count

--- Tabela detalhada de hosts
| inputlookup ir_affected_systems.csv
| lookup asset_lookup_by_cidr ip AS host_ip OUTPUT category, owner, priority
| table hostname, host_ip, category, owner, status, containment_time,
        compromise_vector, analyst_assigned
| sort status, hostname

Etapa 3: Construir Painel de Rastreamento de IOC

Monitore a propagação de IOCs no ambiente:

--- IOCs identificados durante o incidente
index=* (src_ip IN ("185.234.218.50", "45.77.123.45") OR
         dest IN ("evil-c2.com", "malware-drop.com") OR
         file_hash IN ("a1b2c3d4...", "e5f6a7b8..."))
earliest="2024-03-14"
| stats count AS hits, dc(src_ip) AS unique_sources,
        dc(dest) AS unique_dests, latest(_time) AS last_seen
  by sourcetype
| sort - hits

--- Linha do tempo dos IOCs
index=* (src_ip IN ("185.234.218.50") OR dest="evil-c2.com")
earliest="2024-03-14"
| timechart span=1h count by sourcetype

--- Rastreamento de descoberta de novos IOCs
| inputlookup ir_ioc_list.csv
| stats count by ioc_type, source, discovery_time
| sort discovery_time
| table discovery_time, ioc_type, ioc_value, source, status

Etapa 4: Construir Painel de Linha do Tempo de Resposta

Crie a linha do tempo cronológica do incidente:

| inputlookup ir_timeline.csv
| sort _time
| eval phase = case(
    action_type="detection", "Detection",
    action_type="triage", "Triage",
    action_type="containment", "Containment",
    action_type="eradication", "Eradication",
    action_type="recovery", "Recovery",
    1=1, "Other"
  )
| eval phase_color = case(
    phase="Detection", "#e74c3c",
    phase="Triage", "#f39c12",
    phase="Containment", "#e67e22",
    phase="Eradication", "#2ecc71",
    phase="Recovery", "#3498db"
  )
| table _time, phase, action, analyst, details

Exemplo de dados de linha do tempo:

_time,action_type,action,analyst,details
2024-03-15 14:00,detection,Alert triggered - Cobalt Strike beacon detected,splunk_es,Notable event NE-2024-08921
2024-03-15 14:12,triage,Alert triaged - confirmed true positive,analyst_jdoe,VT score 52/72 on beacon hash
2024-03-15 14:23,containment,Host WORKSTATION-042 isolated,analyst_jdoe,CrowdStrike network isolation
2024-03-15 14:35,containment,C2 domain blocked on firewall,analyst_msmith,Palo Alto rule deployed
2024-03-15 15:00,eradication,Enterprise-wide IOC scan initiated,analyst_jdoe,Splunk search across all indices
2024-03-15 15:30,containment,3 additional hosts identified and isolated,analyst_msmith,Lateral movement confirmed
2024-03-15 16:00,eradication,Malware removed from all affected hosts,analyst_tier3,CrowdStrike RTR cleanup
2024-03-15 18:00,recovery,Systems restored and monitored,analyst_msmith,72-hour monitoring period started

Etapa 5: Construir Dashboard de Operações do SOC

Rastreie métricas de desempenho gerais do SOC:

--- Volume de incidentes por severidade (últimos 30 dias)
index=notable earliest=-30d
| stats count by urgency
| eval order = case(urgency="critical", 1, urgency="high", 2, urgency="medium", 3,
                    urgency="low", 4, urgency="informational", 5)
| sort order

--- MTTD (Mean Time to Detect)
index=notable earliest=-30d status_label="Resolved*"
| eval mttd_minutes = round((time_of_first_event - orig_time) / 60, 1)
| stats avg(mttd_minutes) AS avg_mttd, median(mttd_minutes) AS med_mttd,
        perc95(mttd_minutes) AS p95_mttd

--- MTTR (Mean Time to Respond/Resolve)
index=notable earliest=-30d status_label="Resolved*"
| eval mttr_hours = round((status_end - _time) / 3600, 1)
| stats avg(mttr_hours) AS avg_mttr, median(mttr_hours) AS med_mttr by urgency

--- Distribuição de carga de trabalho dos analistas
index=notable earliest=-7d
| stats count by owner
| sort - count

--- Distribuição de disposição de alertas
index=notable earliest=-30d status_label IN ("Resolved*", "Closed*")
| stats count by disposition
| eval percentage = round(count / sum(count) * 100, 1)
| sort - count

Etapa 6: Construir Dashboard de Briefing Executivo

Crie um dashboard de alto nível para a liderança durante incidentes importantes:

--- Painel de resumo executivo
| makeresults
| eval metrics = "Business Impact: 1 file server offline (Finance dept), "
                ."Estimated Recovery: 4 hours, "
                ."Data Loss Risk: Low (backups verified), "
                ."Customer Impact: None, "
                ."Regulatory Notification: Not required (no PII exposure confirmed)"

--- Comparação de tendências (este mês vs. mês anterior)
index=notable earliest=-60d
| eval period = if(_time > relative_time(now(), "-30d"), "Current Month", "Previous Month")
| stats count by period, urgency
| chart sum(count) AS incidents by period, urgency

--- Principais categorias de ameaças
index=notable earliest=-30d
| top rule_name limit=10
| table rule_name, count, percent

Etapa 7: Automatizar Atualizações do Dashboard

Use pesquisas agendadas do Splunk para manter os dados do dashboard:

--- Pesquisa agendada para atualizar a tabela de sistemas afetados (executa a cada 5 minutos)
index=* (src_ip IN [| inputlookup ir_ioc_list.csv | search ioc_type="ip"
                    | fields ioc_value | rename ioc_value AS src_ip])
earliest=-1h
| stats latest(_time) AS last_seen, count AS event_count,
        values(sourcetype) AS data_sources by src_ip
| eval status = if(last_seen > relative_time(now(), "-15m"), "Active", "Dormant")
| outputlookup ir_affected_systems_auto.csv

Conceitos-Chave

Termo	Definição
Situational Awareness	Compreensão em tempo real do escopo do incidente, sistemas afetados e progresso da resposta
MTTD	Mean Time to Detect — tempo médio desde a ocorrência da ameaça até a geração do alerta no SOC
MTTR	Mean Time to Respond — tempo médio desde o alerta até a resolução ou contenção do incidente
Containment Rate	Percentual de sistemas afetados isolados com sucesso em relação ao total de sistemas comprometidos
Burn-Down Chart	Rastreamento visual das tarefas de investigação em aberto ao longo do tempo durante um incidente
Executive Briefing	Dashboard de resumo não técnico mostrando impacto nos negócios, linha do tempo e status de recuperação

Ferramentas e Sistemas

• Splunk Dashboard Studio: Framework moderno de dashboards com visualização drag-and-drop e dados em tempo real
• Elastic Kibana Dashboard: Plataforma de visualização com Lens, Maps e Canvas para dashboards de segurança
• Grafana: Plataforma de visualização open-source com suporte a múltiplas fontes de dados, incluindo Elasticsearch e Splunk
• Microsoft Sentinel Workbooks: Framework de dashboard nativo do Azure com visualização de análises baseadas em Kusto
• TheHive: Plataforma de resposta a incidentes open-source com rastreamento de casos e dashboards de métricas integrados

Cenários Comuns

• Incidente de Ransomware Ativo: Dashboard mostrando propagação da criptografia, status de contenção, verificação de backups, progresso da recuperação
• Investigação de Violação de Dados: Dashboard rastreando repositórios de dados afetados, volume de exfiltração, requisitos de notificação
• Resposta a Campanha de Phishing: Dashboard mostrando contagem de destinatários, taxa de cliques, exposição de credenciais, status de remediação
• Relatório Mensal do SOC: Dashboard para liderança com tendências de incidentes, métricas MTTD/MTTR, desempenho dos analistas
• Auditoria de Conformidade: Dashboard demonstrando cobertura de detecção, conformidade com SLAs de resposta e métricas de fechamento de incidentes

Formato de Saída

INCIDENT RESPONSE DASHBOARD — IR-2024-0450
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

STATUS: CONTAINMENT PHASE (6h 30m elapsed)

Affected Systems:          Containment Progress:
  Compromised:   2         [==========----------] 71%
  Investigating: 1         5 of 7 systems contained
  Contained:     3
  Recovered:     1

IOC Summary:               Response Timeline:
  IPs:      4              14:00 — Alert triggered
  Domains:  2              14:12 — Confirmed malicious
  Hashes:   3              14:23 — First host isolated
  URLs:     5              15:00 — Enterprise scan started
  Emails:   1              15:30 — 3 more hosts isolated

Key Metrics:
  MTTD:    12 minutes
  MTTC:    23 minutes (first host)
  Analysts Active: 3 (Tier 2: 2, Tier 3: 1)

Business Impact: LOW — Finance file server offline, no customer-facing systems affected