Quando un incidente smette di essere lavorabile da una persona sola, in FortiSOAR non apri una chat: apri una war room. È un record di un modulo dedicato che porta con sé la squadra di risposta, la lista dei task, le evidenze raccolte, gli annunci mandati agli stakeholder e la cronologia di tutto ciò che è successo. Il senso è che chi entra a metà partita si allinea leggendo il record, non chiedendo ai colleghi.
Nasce da un incidente, e parte in Draft
La war room si crea aprendo un record Incident e cliccando «Set up War Room». Non si crea da un alert: se il caso è ancora un alert, prima lo escali a incidente. Nella finestra dai nome e descrizione e trovi già spuntata la casella che include come responder tutti gli analisti coinvolti nell’incidente, cioè gli utenti del team che possiede quel record; togliere quella spunta è una scelta consapevole, non un dettaglio estetico.
Alla creazione la war room è in stato Draft. In Draft la prepari: componi la squadra, scrivi i task, colleghi i record. Le notifiche non partono e i membri non vengono avvisati. Partono quando clicchi Go Live, momento in cui puoi aggiungere un link di collaborazione esterna per chi non è un utente FortiSOAR; lo stato passa da Draft ad Active, le notifiche raggiungono tutti i membri e gli incidenti collegati mostrano la war room attiva nel widget di intestazione. Un errore tipico all’esame è rispondere che la war room notifica i responder appena creata: no, resta muta finché non la mandi live.
Le cinque schede, e a cosa serve ciascuna
Il record si apre sulla scheda Dashboard, che riassume l’incidente (descrizione, stato attuale, tempo trascorso, asset impattati) ed è dove colleghi altri record nella sezione dedicata a incidenti, indicatori, asset e artefatti coinvolti. Task Management è la lavagna kanban: le card sono raggruppate per Status di default (In Progress, On Hold/Blocked, Completed) e si trascinano da un bucket all’altro per cambiare stato; puoi lasciare un task non assegnato e darlo a qualcuno più tardi, e chi lo riceve viene avvisato per email. Investigate contiene la scheda Artifacts con la rappresentazione grafica dei record collegati e la scheda Evidence. Communication ospita il sommario, i «Next Steps» e gli annunci. Timeline è la storia cronologica di tutto ciò che è stato fatto nella war room.
A queste si affiancano due pannelli laterali collassabili: Info Center a sinistra, con chi ha avviato la war room, da quando è attiva, i dettagli del ponte di conferenza e soprattutto il response team, dove puoi assegnare sia team sia singoli utenti (utile quando un analista fuori dal SOC deve essere owner individuale); Workspace a destra, dove si commenta, si usano i thread di messaggi, si menziona un utente digitando la chiocciola e si marca un commento come importante. Chi viene menzionato riceve una email.
Le evidenze si creano con un tag
Questa è la meccanica che distingue la war room da una raccolta di allegati. Dal pulsante Actions esegui un’azione di connettore direttamente sul record della war room, per esempio la reputazione di un dominio; se il risultato conta, aggiungi al log dell’azione il tag Evidence e quel risultato compare nella scheda Evidence dentro Investigate. In alternativa carichi un file a mano trascinandolo nella stessa schermata. Il pulsante Execute serve invece a lanciare playbook sul record, e Generate Report produce un report scaricabile in PDF: quando è pronto, un campo Report compare nell’Info Center e il playbook che lo ha generato lascia anche un commento nel Workspace.
Permessi e i due prerequisiti che si dimenticano
Le war room hanno un RBAC proprio: servono permessi CRUD sul modulo War Room, e i team che vi accedono dipendono dal team che ha impostato la stanza. La particolarità è che qui, oltre alla proprietà per team, esiste anche la proprietà per singolo utente. Su un’installazione nuova i ruoli predefiniti hanno già accesso al modulo War Room; su un sistema aggiornato l’accesso va abilitato a mano, ed è la prima cosa da controllare quando un collega dice che la voce non gli compare.
Secondo prerequisito, altrettanto insidioso: tutti i moduli i cui record vengono collegati alla war room devono essere resi «User Ownable». Senza questo, i responder non vedono i record collegati, e la war room diventa una scatola mezza vuota per metà squadra. Ricorda inoltre che Alerts, Incidents, Indicators e War Rooms non fanno parte della piattaforma nuda: arrivano con il SOAR Framework Solution Pack, installato di default nelle installazioni nuove dalla 7.2.0.
Quando conviene aprirla
Il caso canonico è la minaccia critica o la campagna che coinvolge più team e richiede comunicazione verso l’alto: root cause da trovare, milestone da concordare, aggiornamenti da mandare al management. Ma il modulo è personalizzabile come qualsiasi altro, con Module Editor per i campi e i template per widget e form, e la documentazione indica esplicitamente un secondo uso: riadattare le war room ai processi di business continuity planning.