Nasadit obsah jako kód z vašeho repozitáře pro ISOC pracovní prostor (náhled)

  • Platí pro: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Používejte repozitáře s Integrated Security Operations Center (ISOC) v Microsoft Defender k správě a nasazování vlastního bezpečnostního obsahu do vašeho ISOC pracovního prostoru pomocí CI/CD.

Obsah můžete spravovat z portálu Microsoft Defender nebo z externího GitHub či Azure DevOps repozitáře. Správa obsahu v externím repozitáři vám umožní aktualizovat obsah mimo Microsoft Defender a automaticky tyto aktualizace nasazovat do vašeho ISOC pracovního prostoru.

Zážitek z CI/CD a podporované typy obsahu pro ISOC pracovní prostor jsou stejné jako u stávajícího repozitáře Microsoft Sentinel.

Note

Tato funkce je ve verzi Preview. Schopnosti a dostupnost se mohou během náhledového období měnit.

Předpoklady

Než začnete, ujistěte se, že jsou splněny následující požadavky:

  • Váš tenant splňuje podmínky pro ISOC.
  • Máte ISOC pracovní prostor ve skupině zdrojů, kde máte roli vlastníka .
  • Máte roli globálního administrátora v Microsoft Entra ID pro počáteční nastavení CI/CD.
  • Vlastní obsahové soubory, které chcete nasadit do svého pracovního prostoru, jsou ve podporovaném formátu. Informace o podporovaných formátech najdete v tématu Plánování obsahu úložiště.
  • Účet, který použijete k vytvoření připojení, je ve vašem domovském tenantu. Externí identity jako B2B hostující účty a delegovaný přístup nejsou podporovány.
  • (Pouze vlastní detekční pravidla) Máte licenci Microsoft 365 E5 nebo ekvivalentní licenci, která zahrnuje Microsoft Defender XDR. Další informace najdete v tématu Nasazení vlastních pravidel detekce jako kódu.

Předpoklady pro GitHub

Před připojením k GitHub se ujistěte, že:

  • Máte přístup do svého repozitáře na GitHub přes Collaborator.
  • GitHub Actions je zapnutý.

Požadavky pro Azure DevOps

Před připojením k Azure DevOps se ujistěte, že:

  • Máte přístup Project Administratora ke svému Azure DevOps repozitáři.
  • Přístup třetích stran k aplikacím přes OAuth je povolen pro Azure DevOps aplikační připojovací politiky.
  • Vaše Azure DevOps připojení je ve stejném tenantu jako váš ISOC pracovní prostor.

Pro více informací o typech obsahu pro nasazení viz Plánujte obsah svého repozitáře.

Připojení úložiště

Použijte tento postup k připojení repozitáře GitHub nebo Azure DevOps ke svému ISOC pracovnímu prostoru.

Každé připojení může podporovat různé typy vlastního obsahu, včetně analytických pravidel, automatizačních pravidel, vlastních detekčních pravidel, vyhledávání dotazů, parserů, playbooků a pracovních sešitů. Další informace najdete v tématu O obsahu a řešeních služby Microsoft Sentinel.

Nemůžeš vytvořit duplicitní připojení se stejným repozitářem a větví v jednom pracovním prostoru ISOC.

  1. Přihlaste se k portálu Microsoft Defender.

  2. Ujistěte se, že jste přihlášeni do aplikace pro správu zdrojového kódu s přihlašovacími údaji, které chcete pro připojení použít.

  3. V portálu Defender vyberte Microsoft Sentinel>Správa obsahu>Úložiště.

  4. Vyberte Přidat nový.

  5. Na stránce Vytvořit nové připojení pro nasazení zadejte název připojení.

  6. Zadejte popis spojení.

  7. Ve Source Control vyberte typ repozitáře, který chcete připojit.

  8. Vyberte Autorizovat.

  9. Vyplňte kroky pro svého poskytovatele správy zdrojového kódu:

    1. Po zobrazení výzvy zadejte svoje přihlašovací údaje GitHubu.

      Při prvním přidání připojení se zobrazí výzva k autorizaci připojení k Microsoft Sentinelu. Pokud jste už přihlášeni ke svému GitHub účtu ve stejném prohlížeči, vaše přihlašovací údaje do GitHub se automaticky napíšou.

    2. V repozitáři vyberte repozitář, ke kterému chcete být připojeni.

    3. Vyberte Přidat úložiště.

      Při prvním připojení k repozitáři se otevře nové okno nebo záložka prohlížeče a vyzve vás k instalaci aplikace Azure-Sentinel.

    4. V GitHub vyberte repozitář, kam chcete nainstalovat aplikaci Azure-Sentinel.

    5. Nainstalujte aplikaci Azure-Sentinel.

    6. Vraťte se na stránku Vytvořit nové připojení pro nasazení.

    7. Z větve vyberte větev, kterou chcete připojit ke svému ISOC pracovnímu prostoru.

    8. Z typů obsahu vyberte obsah, který chcete nasadit.

      Parsery i vyhledávání dotazů používají API Saved Searches k nasazování obsahu. Pokud vyberete jeden z těchto typů obsahu a vaše větev obsahuje ten druhý, oba typy obsahu jsou nasazeny.

      U jiných typů obsahu se nasadí pouze ty, které vyberete.

    9. Vyberte Vytvořit.

      Příklady:

      Snímek obrazovky s novým připojením k úložišti GitHub

Po vytvoření připojení se ve vašem úložišti vygeneruje nový pracovní postup nebo kanál. Obsah uložený ve vašem repozitáři je nasazen do vašeho ISOC pracovního prostoru.

Doba nasazení se může lišit v závislosti na množství obsahu, který nasazujete.

Zobrazení stavu nasazení

Pro zobrazení stavu nasazení na GitHub:

  1. Otevřete si repozitář na GitHub.

  2. Vyberte kartu Akce.

  3. Vyberte soubor workflow .yaml pro zobrazení logů nasazení a chybových hlášení.

Pro zobrazení stavu nasazení v Azure DevOps:

  1. Otevřete svůj repozitář v Azure DevOps.

  2. Vyberte záložku Pipelines .

Po dokončení nasazení:

  • Obsah uložený ve vašem repozitáři se zobrazuje na odpovídajících stránkách Microsoft Sentinel v portálu Defender.
  • Detaily spojení na stránce Repozitorií ukazují stav nasazení, čas posledního nasazení a odkaz na logy nasazení.

Příklady:

Screenshot připojení k repozitáři zobrazující logy nasazení a stav.

Ve výchozím nastavení workflow nasazuje pouze obsah upravený od předchozího nasazení. Toto chování můžete přizpůsobit změnou spouštěčů nasazení, vypnutím chytrých nasazení nebo omezením nasazení na konkrétní kořenovou složku.

Pro více informací viz Přizpůsobit nasazení repozitářů.

Upravit obsah

Po vytvoření připojení k repozitáři upravujte propojený obsah v repozitáři místo přímé úpravy v Microsoft Defender.

Pokud upravujete nasazený obsah v Microsoft Defender, exportujte aktualizovaný obsah zpět do svého repozitáře správy zdrojových kódů. Jinak by se vaše změny mohly přepsat při dalším nasazení obsahu z repozitáře.

Odstranit obsah

Smazání obsahu z vašeho repozitáře ho z vašeho ISOC pracovního prostoru nevymaže.

Pro odstranění obsahu, který byl nasazen přes repozitář:

  1. Smažte obsah ze svého repozitáře.

  2. Smažte odpovídající obsah z Microsoft Sentinel v portálu Defender.

Obsah můžete filtrovat podle jeho zdrojového jména, abyste lépe identifikovali obsah nasazený z repozitářů.

Screenshot analytických pravidel filtrovaných podle zdrojového jména repozitáře.

Odebrat připojení k repozitáři

Odstranění připojení k repozitáři zastaví budoucí nasazení obsahu. Obsah, který byl dříve nasazen, zůstává ve vašem ISOC pracovním prostoru.

Pro použití souborů Bicep musí být vaše připojení k repozitáři novější než k 1. listopadu 2024. Odstraňte a znovu vytvořte starší připojení, abyste ho aktualizovali.

Pro odstranění připojení k repozitáři:

  1. Přihlaste se k portálu Microsoft Defender.

  2. Vyberte Microsoft Sentinel>>Content Management Repositories.

  3. Vyberte spojení, které chcete odstranit.

  4. Vyberte Odstranit.

  5. Kliknutím na Ano potvrďte odstranění.

Po odpojení připojení zůstává obsah dříve nasazený přes toto připojení ve vašem ISOC pracovním prostoru. Obsah přidaný do repozitáře po odstranění připojení není nasazen.

Pokud narazíte na chybu při odstraňování připojení, zkontrolujte si repozitář správy zdrojů a potvrďte, že související workflow GitHub nebo Azure DevOps pipeline byly smazány.

Odebrání aplikace Microsoft Sentinel z úložiště GitHub

Než odstraníte aplikaci Microsoft Sentinel z repozitáře GitHub, odstraňte všechna související připojení ze stránky repozitářů v Microsoft Defender.

Každá instalace aplikace Microsoft Sentinel má jedinečné ID, které se používá při přidávání a odstraňování připojení. Pokud ID chybí nebo je změněno, odstraňte spojení ze stránky repozitářů a manuálně odstraňte workflow z vašeho GitHub repozitáře, abyste zabránili budoucímu nasazení obsahu.

Související obsah

  • Poslední aktualizace v