Vytvoření základních pravidel automatizace pomocí jednoduchých toků na portálu Microsoft Defender (Preview)

  • Platí pro: Microsoft Sentinel in the Microsoft Defender portal

Simple Flows jsou sada předpřipravených akcí automatizace na portálu Microsoft Defender. Pomocí Simple Flows můžete vytvořit funkční pravidlo automatizace vybráním aktivační události a přidáním jedné připravené akce: bez playbooku a bez Logic App. Pomocí jednoduchých toků můžete odesílat e-mailová oznámení, aktualizovat pole případu, přidávat úlohy šetření a aktualizovat upozornění přímo z průvodce pravidlem automatizace.

Tento článek vysvětluje, jak Simple Flows zapadá do enginu pravidel automatizace, popisuje nové spouštěče a akce, ukazuje, které akce jsou k dispozici pro jednotlivé spouštěče, a krok za krokem představuje ucelené příklady pro běžné scénáře SOC.

Důležité

Simple Flows je momentálně ve veřejném náhledu. Další právní podmínky týkající se funkcí Azure, které jsou v beta verzi, preview nebo jinak ještě nejsou vydané v obecné dostupnosti, najdete v dodatečných podmínkách použití pro Microsoft Azure Preview.

Důležité

Po 31. březnu 2027 už Microsoft Sentinel nebude podporován na webu Azure Portal a bude dostupný jenom na portálu Microsoft Defender. Všichni zákazníci používající Microsoft Sentinel na webu Azure Portal budou přesměrováni na portál Defender a budou používat Microsoft Sentinel jenom na portálu Defender.

Pokud na webu Azure Portal stále používáte Microsoft Sentinel, doporučujeme začít plánovat přechod na portál Defender , abyste zajistili hladký přechod a plně využili sjednoceného prostředí operací zabezpečení, které nabízí Microsoft Defender.

Co je Simple Flows?

Pravidla automatizace v portálu Microsoft Defender se řídí třídílným modelem:

Aktivační událost>Podmínky>Akce

Aktivační událost je událost, která spouští pravidlo (například se vytvoří případ). Podmínky filtruje události, na které se pravidlo vztahuje (například pouze případy s vysokou závažností). Akce jsou operace, které pravidlo provádí při splnění podmínek.

Simple Flows rozšiřuje tento model o nové aktivační události a akce, které jsou zaměřené na práci s případy na portálu Defender, a také o akci pro aktualizaci výstrahy, která funguje se stávající aktivační událostí Výstraha vytvořena. Každá akce je jeden konfigurovatelný stavební blok. Nemusíte psát kód, vytvářet Logic App ani vytvářet playbook.

Simple Flows je navržen pro týmy SOC, které potřebují rychlou, opakovatelnou automatizaci. Mezi běžné cílové skupiny patří:

  • Analytici SOC , kteří chtějí automatizovat rutinní zpracování případů a výstrah, aniž by opustili průvodce pravidly automatizace.
  • Správci zabezpečení , kteří definují zásady automatizace v rámci SOC.
  • Technici zabezpečení , kteří rozšiřují automatizaci reakcí na incidenty jako součást větší strategie orchestrace zabezpečení, automatizace a reakce (SOAR).

Úplný přehled pravidel automatizace najdete v tématu Automatizace reakcí na hrozby v Microsoft Sentinel pomocí pravidel automatizace.

Předpoklady

Před vytvořením pravidel automatizace pomocí jednoduchých toků se ujistěte, že máte:

  • Přístup k případům na portálu Microsoft Defender. Simple Flows je k dispozici pro:
  • Jedna z následujících rolí nebo ekvivalentní vlastní role s oprávněním ke správě pravidel automatizace a případů:
    • Microsoft Sentinel Přispěvatel (k vytváření a úpravě pravidel automatizace).
    • Operátor zabezpečení nebo správce zabezpečení v Microsoft Defender XDR (pro správu případů a výstrah).
  • Pro akci Upozornění na aktualizaci: Váš účet musí mít oprávnění k aktualizaci výstrah ve zdrojovém produktu a (pro Microsoft Sentinel výstrahy) datové konektory, které vytvářejí výstrahy, musí být povolené.

Úplný popis požadavků na oprávnění pro pravidla automatizace najdete v tématu Automatizace reakcí na hrozby v Microsoft Sentinel pomocí pravidel automatizace.

Nové triggery

Simple Flows přidává do modulu pravidel pro automatizaci dvě nové aktivační události. Předem vytvořený trigger upozornění není součástí jednoduchých toků, ale je tu uvedený, protože nová akce upozornění na aktualizaci ji používá.

Trigger Aktivuje se, když Dostupný kontext Stav
Vytvoření případu Nový případ se vytvoří ručně, automaticky z korelace XDR, prostřednictvím rozhraní API nebo jiným pravidlem automatizace. ID případu, název, závažnost, stav, vlastník, popis, značky, zdroj, čas vytvoření a také jakákoli vlastní pole případu definovaná ve vašem tenantu. Veřejná předběžná verze
Případ byl aktualizován. Existující případ se změní: stav, závažnost, vlastník, značky, úkoly nebo jiná pole případu. ID případu, název, závažnost (původní a nová), stav (původní a nový), vlastník, značky, čas aktualizace a všechna vlastní pole případu definovaná ve vašem tenantu. Veřejná předběžná verze
Výstraha vytvořená(existující) V Microsoft Sentinel nebo Microsoft Defender XDR se vytvoří nová výstraha. ID výstrahy, název, závažnost, stav, poskytovatel, taktika, entity. Obecně dostupné

Zjištění chování triggerů

  • Prevence smyčky. Modul deduplikuje události, aby se stejné pravidlo znovu neaktivovalo ve stejném případě v rámci jednoho cyklu vyhodnocení. To vás chrání před nekonečnými smyčkami, kdy aktualizace automatizace znovu aktivuje pravidlo, které ho vytvořilo.
  • Jeden oheň na záchranu. Když najednou uložíte několik změn případu (například změníte závažnost i vlastníka), trigger Case updated se spustí pouze jednou a vyhodnotí všechny podmínky vůči výslednému stavu, nikoli jednou pro každé pole.
  • Staré a nové hodnoty. Trigger Aktualizace případu zveřejňuje předchozí i nové hodnoty změněných polí, takže můžete zapsat přesné podmínky, jako je "Závažnost změněna ze střední na vysokou".
  • Priorita pravidla Pokud se na stejnou událost vztahuje více pravidel, spouštějí se v pořadí priorit, které nastavíte na stránce Automation.

Odkaz na akce

Jednoduché toky zavádí šest akcí ve dvou kategoriích: akce případu (řízené správou případů) a akci upozornění (řízenou rozhraním API pro upozornění). Všechny akce se provádějí prostřednictvím platformy Unified Actions, která směruje každou akci do správné podřízené služby.

Akce Kompatibilní spouštěče Konfigurovatelná pole Chování a omezení
Odeslat e-mail o vytvoření případu Případ byl vytvořen. E-mailové adresy příjemců (jedna nebo více). Odešle e-mailové oznámení při vytvoření nového případu. Používá pevnou šablonu e-mailu spravovanou Microsoft s kontextem případu (ID případu, název, závažnost, stav, vlastník a odkaz na případ). Odesílatel je zabezpečení od Microsoftu.
Odeslat e-mail o aktualizovaném případu Případ byl aktualizován. E-mailové adresy příjemce. Odešle e-mailové oznámení při aktualizaci případu. Používá pevnou šablonu s kontextem případu a starými nebo novými hodnotami změněných polí. Spustí se jednou při každém uložení.
Případ aktualizace Případ vytvořen, Případ aktualizován Standardní pole: Jméno, Popis, Přiřadit, Priorita, Stav, Termín splnění, Závěrečné poznámky, Příjemci e-mailu, Období odkladu. Navíc všechna vlastní pole případu definovaná ve vašem tenantu. Upraví jedno nebo více polí případu v jedné akci. Nastavte pouze pole, která chcete změnit; ostatní pole zůstanou beze změny. Více aktualizací polí v rámci jedné akce Aktualizovat případ se počítá jako jedno uložení a v následném zpracování vytvoří jedinou událost Případ byl aktualizován.
Přidat úkol Případ vytvořen, Případ aktualizován Pro každý úkol: Název (povinné), Stav, Priorita, Přiřadit komu, Termín splnění, Popis, Závěrečné poznámky. Přidá do případu jeden nebo více úkolů šetření v uvedeném pořadí. Limit: až 10 úkolů na pravidlo. Akce neodstraní duplicitních dat, takže opakované spuštění pravidla znovu přidá úlohy. Použijte podmínky Case updated, abyste se vyhnuli nežádoucímu opakovanému spuštění.
Upozornění na aktualizaci Výstraha vytvořená Stav, Klasifikace, Určení, Přiřazeno. Upraví pole ve výstraze Microsoft Sentinel nebo Microsoft Defender XDR. Provádí se prostřednictvím rozhraní Alerts API a okamžitě se promítne do upozornění. Užitečné pro automatické třídění velkého objemu méně spolehlivých upozornění.

Note

Tyto tři e-mailové akce mají v této verzi následující omezení: e-maily používají pevnou šablonu spravovanou společností Microsoft (bez možnosti přizpůsobení), odesílatel je vždy zabezpečení od Microsoftu, příjemci CC a BCC nejsou podporováni a spuštění e-mailů se nezapisují do protokolu auditu případu, takže z časové osy případu nemůžete ověřit, že bylo odesláno oznámení.

Kompatibilita triggerů a akcí

Ne každá akce funguje s každým triggerem. Následující matice ukazuje podporované kombinace v této verzi.

Akce Případ byl vytvořen. Případ byl aktualizován. Výstraha vytvořená
Odeslat e-mail o vytvoření případu ✅
Odeslat e-mail o aktualizaci případu ✅
Aktualizovat případ ✅ ✅
Přidat úkol ✅ ✅
Upozornění na aktualizaci ✅

Kompletní návody

Následující příklady ukazují, jak kombinovat spouštěče, podmínky a akce ve Simple Flows k vytváření běžných pracovních postupů SOC.

Příklad 1: Automatické třídění upozornění s nízkou věrností podle klasifikace

Automaticky řeší informativní výstrahy od konkrétního poskytovatele jako neškodné nálezy, aby fronta zůstala zaměřená na skutečné hrozby.

  1. Na portálu Microsoft Defender přejděte na Microsoft Sentinel>Automation a vyberte + Vytvořit>pravidlo automatizace.
  2. V části Aktivační událost vyberte Při vytvoření výstrahy.
  3. Za podmínek přidejte:
    • Poskytovatelse rovnáMicrosoft Defender for Endpoint
    • Závažnostse rovnáinformačnímu
  4. V části Akce přidejte upozornění na aktualizaci pomocí:
    • Klasifikace: Neškodné pozitivní
    • Stav: Vyřešen
  5. Uložte pravidlo.

Příklad 2: Zvýšení úrovně úkolů, když se případ přesune na prošetřování

Přidejte kontrolní seznam vhodný pro fázi v okamžiku, kdy analytik začne prošetřovat.

  1. Z Microsoft Sentinel>Automation vytvořte nové pravidlo automatizace.
  2. V části Aktivační událost vyberte Při aktualizaci případu.
  3. V části Podmínky přidejte: Stavzměněn naPrověřování.
  4. V části Akce přidejte přidat úkol s úkoly, které má analytik sledovat během fáze šetření.
  5. Uložte pravidlo.

Tip

Zkombinujte staré a nové hodnoty triggeru Case updated s prioritou pravidel, abyste mohli vrstvit pravidla bez konfliktů. Obecné pravidlo, které se spouští v každém případě, je možné spárovat s pravidlem s vyšší prioritou, které přidává další akce pouze v případě, že se závažnost změní na hodnotu Vysoká nebo Kritická.

Související obsah

  • Poslední aktualizace v