使用 Security Playbooks 實現自動化

學習目標

完成本單元後，您應能：

1. 辨識帳號風險的手動回應選項及其適用條件。
2. 說明 Playbook 的觸發方式、目標事件與回應動作。
3. 檢查一個自動化流程是否符合組織的目標、權限與業務需求。

情境：如何把重複的帳號風險處理流程自動化？

處理帳號風險時，先理解人工判斷與回應流程，才能決定哪些步驟適合自動化。TrendAI Vision One 的 Security Playbooks 可串接動作，協助加快資安工作與調查。

本單元只在互動示範中觀察流程。停用帳號、強制登出與重設密碼會影響使用者，學習時先確認動作的目的及條件，不要求您在實際環境執行這些動作。

一、從 Account compromise 追查帳號事件

在風險頁面選取 Account compromise，查看 Account Compromise Indicators。

選取示範中的使用者，閱讀事件及帳號詳細資料。先確認目標身分與事件原因，才能評估回應。

跟著做

找出一筆帳號事件，記下事件名稱及受影響使用者。說明還需要哪些資料，才能判斷要採取何種回應。

二、理解手動回應選項

在帳號詳細資料，開啟使用者名稱旁的三點選單，查看可用動作。

實際可用動作取決於連線的身分服務、授權與權限。示範也提到已啟用 Zero Trust Secure Access 且符合條件時，可使用其他支援動作。

跟著做

比較訓練與停用帳號兩種選項，說明它們的目的與業務影響有何不同。先完成判斷說明即可。

三、閱讀 Playbook 的三個核心部分

開啟 Security Playbooks，查看示範中的 Leaked account。

Playbook 可依類型由使用者手動啟動、按排程執行，或在符合條件時觸發。請依序閱讀觸發方式、尋找的事件及回應動作。

本示範的流程是：每小時執行 → 尋找 Leaked Account Identification 事件 → 執行 Disable User Account。這是範例設定，並非所有 Playbook 的預設行為；停用動作需要受支援的身分服務連線及必要權限。

跟著做

用自己的話說明三個節點各負責什麼工作。再指出哪些設定錯誤可能導致選錯使用者、未能執行，或影響正常業務。

四、從範本建立可理解的流程

示範提供範本與自訂 Playbook 兩種起點。選擇範本後仍需閱讀各節點，確認目標與設定是否符合需求。

綜合練習

假設要建立帳號風險處理流程，請寫出：

1. 哪種事件會觸發或被流程選取？
2. 哪些帳號在處理範圍內？
3. 準備採取什麼動作，對使用者有何影響？
4. 需要哪些服務連線與權限？
5. 執行後如何查看結果及處理失敗情形？

這份說明可用於流程討論。實際啟用前，應由負責團隊依組織程序確認與測試。

回顧與理解檢查

1. 為什麼建立自動化前，需要理解手動回應？
2. 每小時執行與事件觸發，各自代表什麼？
3. 套用範本後，還需要核對哪些設定？

檢核重點：能說明觸發、目標與動作，並保留服務連線、權限及業務影響的條件。

互動練習

開啟 Security Playbooks 互動示範

先觀察手動回應，再閱讀 Leaked account 與範本，完成流程檢查說明。