Playbooks (SOAR)

Los Playbooks proporcionan capacidades de respuesta automatizada — cuando una alerta de seguridad coincide con las condiciones de activación definidas, el sistema ejecuta automáticamente una secuencia de acciones como enviar webhooks, etiquetar activos, enriquecer datos IOC o registrar eventos. Es un módulo SOAR (Security Orchestration, Automation and Response) ligero integrado directamente en el motor de alertas.

Los Playbooks se evalúan automáticamente cada 60 segundos como parte del ciclo del motor de alertas:

• •El motor de alertas detecta nuevas alertas (de Suricata IDS, reglas DB, honeypot, threat intel)
• •Cada alerta se compara con todos los triggers activos de los playbooks
• •Si las condiciones del trigger coinciden, las acciones del playbook se ejecutan secuencialmente
• •El enfriamiento y la limitación de velocidad previenen la ejecución excesiva
• •Todas las ejecuciones se registran con resultados por acción

En la parte superior de la página, cuatro indicadores muestran el estado actual de sus playbooks. Haga clic en cualquier indicador para filtrar la tabla:

Haga clic en el botón "+ Crear" en la esquina superior derecha para abrir el formulario de playbook:

Cada playbook puede contener una o más acciones que se ejecutan secuencialmente cuando el trigger coincide. Las acciones admiten variables de plantilla para contenido dinámico.

Todos los campos de texto en la configuración de acciones admiten variables de plantilla usando la sintaxis {{variable}}. Estas se reemplazan con los datos reales de la alerta en el momento de la ejecución:

Cada playbook tiene dos mecanismos de protección para evitar que las tormentas de alertas causen automatización excesiva:

Cuando el modo de prueba está habilitado, el playbook evalúa las condiciones de activación y registra la coincidencia, pero NO ejecuta ninguna acción. Esta es la forma recomendada de probar nuevos playbooks:

• •Cree un nuevo playbook con modo de prueba habilitado (predeterminado para playbooks precargados)
• •Monitoree la pestaña Ejecuciones para ver qué alertas lo habrían activado
• •Ajuste las condiciones de activación si es necesario
• •Desactive el modo de prueba para activar el playbook

La pestaña Ejecuciones muestra un registro cronológico de todas las ejecuciones de playbooks. Cada entrada incluye:

• •Nombre del playbook y estado de ejecución (completed / failed / dry-run)
• •Nombre y gravedad de la alerta que lo activó
• •Duración de la ejecución en milisegundos
• •Marca de tiempo de la ejecución
• •Detalles expandibles con resultados por acción (éxito/fallo, datos de respuesta)

FlowPro incluye 6 playbooks de ejemplo preinstalados que cubren escenarios comunes de automatización de seguridad. Todos comienzan en modo de prueba:

• •Siempre comience con modo de prueba — pruebe la coincidencia del trigger antes de habilitar acciones
• •Use triggers específicos — combine gravedad + tipo de fuente + nombre de regla para coincidencia precisa
• •Establezca enfriamientos apropiados — 5 min para alertas críticas, 30+ min para playbooks informativos
• •Monitoree los registros de ejecución regularmente — verifique acciones fallidas y patrones de activación inesperados
• •Use condiciones de campo CIDR para clasificación de IP internas/externas
• •Combine múltiples tipos de acciones — webhook para notificación SOC + etiqueta para seguimiento de activos + registro para pista de auditoría