Automatización de la respuesta a amenazas con cuadernos de estrategias en Microsoft Sentinel

  • Artículo
  • Tiempo de lectura: 24 minutos

En este artículo se explica qué son los cuadernos de estrategias de Microsoft Sentinel y cómo usarlos para implementar las operaciones de orquestación, automatización y respuesta de la seguridad (SOAR), logrando mejores resultados a la vez que se ahorran tiempo y recursos.

¿Qué es un cuaderno de estrategias?

Los analistas de SOC suelen estar sobrecargados con alertas e incidentes de seguridad de forma periódica, en volúmenes tan grandes que el personal disponible está desbordado. Esto genera, con demasiada frecuencia, situaciones en las que se ignoran muchas alertas y no se pueden investigar muchos incidentes, lo que hace que la organización sea vulnerable a ataques que pasan desapercibidos.

Muchas de estas alertas e incidentes, si no la mayoría, se ajustan a patrones recurrentes que se pueden resolver mediante conjuntos de acciones de corrección específicas y definidas. Además, también se les asignan las tareas básicas de corrección e investigación de los incidentes que consigan abordar. En la medida en que estas actividades puedan automatizarse, un SOC podrá ser mucho más productivo y eficiente, lo que permite a los analistas dedicar más tiempo y energía a la actividad de investigación.

Un cuaderno de estrategias es una colección de estas acciones correctivas que se puede ejecutar desde Microsoft Sentinel de forma rutinaria. Un cuaderno de estrategias puede ayudarle a automatizar y organizar la respuesta a las amenazas; se puede ejecutar manualmente a petición en entidades (en versión preliminar, ver más abajo) y alertas, o bien establecer que se ejecute automáticamente como respuesta a alertas o incidentes específicos, cuando se desencadene mediante una regla de automatización.

Por ejemplo, si una cuenta y una máquina están en peligro, un cuaderno de estrategias puede aislar la máquina de la red y bloquear la cuenta en el momento en que se notifica el incidente al equipo de SOC.

Los cuadernos de estrategias se pueden usar en la suscripción a la que pertenecen, pero en la pestaña Playbooks (Cuadernos de estrategias) (en la hoja Automation [Automatización]) se muestran todos los cuadernos de estrategias disponibles en todas las suscripciones seleccionadas.

Plantillas de cuadernos de estrategias

Importante

Las plantillas de cuadernos de estrategias se encuentran actualmente en VERSIÓN PRELIMINAR. Consulte Términos de uso complementarios para las Versiones preliminares de Microsoft Azure para conocer los términos legales adicionales que se aplican a las características de Azure que se encuentran en la versión beta, en versión preliminar o que todavía no se han publicado para que estén disponibles con carácter general.

Una plantilla de cuaderno de estrategias es un flujo de trabajo precompilado, probado y listo para usar que se puede personalizar para satisfacer sus necesidades. Las plantillas también pueden servir como referencia para los procedimientos recomendados al desarrollar cuadernos de estrategias desde cero o como inspiración para nuevos escenarios de automatización.

Las plantillas de cuadernos de estrategias no son cuadernos de estrategias activos hasta que se crea uno (una copia editable de la plantilla) a partir de ellos.

Puede obtener plantillas de cuadernos de estrategias de los siguientes orígenes:

  • La pestaña Plantillas de cuaderno de estrategias (en Automatización) presenta los escenarios principales aportados por la comunidad de Microsoft Sentinel. Se pueden crear varios cuadernos de estrategias activos a partir de la misma plantilla.

    Cuando se publica una nueva versión de la plantilla, los cuadernos de estrategias activos creados a partir de esa plantilla (en la pestaña Playbooks [Cuadernos de estrategias]) se etiquetarán con una notificación que indica que hay una actualización disponible.

  • Las plantillas de cuadernos de estrategias también se pueden obtener como parte de una solución de Microsoft Sentinel en el contexto de un producto específico. La implementación de la solución genera cuadernos de estrategias activos.

  • El repositorio de GitHub de Microsoft Sentinel contiene muchas plantillas de cuadernos de estrategias. Para implementarlas en una suscripción de Azure, seleccione el botón Implementar en Azure.

Técnicamente, una plantilla de cuaderno de estrategias es una plantilla de ARM que consta de varios recursos: un flujo de trabajo de Azure Logic Apps y conexiones de API para cada conexión implicada.

Conceptos básicos de Azure Logic Apps

Los cuadernos de estrategias de Microsoft Sentinel se basan en flujos de trabajo integrados en Azure Log Apps, un servicio en la nube que le ayuda a programar, automatizar y organizar tareas y flujos de trabajo en los sistemas de toda la empresa. Esto significa que los cuadernos de estrategias pueden aprovechar toda la potencia y las capacidades de las plantillas integradas en Azure Logic Apps.

Nota

Azure Logic Apps crea recursos independientes, por lo que se pueden aplicar cargos adicionales. Para más información, visite la página de precios de Azure Logic Apps.

Azure Logic Apps se comunica con otros sistemas y servicios mediante conectores. A continuación se explican brevemente los conectores y algunos de sus atributos más importantes:

  • Conector administrado: Da forma a un conjunto de acciones y desencadenadores que recomienzan llamadas de API dirigidas a un producto o servicio determinado. Azure Logic Apps ofrece cientos de conectores para comunicarse con servicios de Microsoft y de otros fabricantes. Para más información, consulte Conectores de Azure Logic Apps y su documentación

  • Conector personalizado: Es posible que quiera comunicarse con servicios que no están disponibles como conectores precompilados. Para resolver esta necesidad, los conectores personalizados permiten crear (e incluso compartir) un conector y definir sus propios desencadenadores y acciones. Para más información, consulte Creación de sus propios conectores personalizados de Azure Logic Apps.

  • Conector de Microsoft Sentinel: Para crear cuadernos de estrategias que interactúen con Microsoft Sentinel, use el conector de Microsoft Sentinel. Para más información, consulte la documentación del conector de Microsoft Sentinel.

  • Desencadenador: Un componente de conector que inicia un flujo de trabajo, en este caso, un cuaderno de estrategias. El desencadenador de Microsoft Sentinel define el esquema que el cuaderno de estrategias espera recibir cuando se desencadene. Actualmente, el conector de Microsoft Sentinel tiene tres desencadenadores:

  • Acciones: las acciones son todos los pasos que se producen después del desencadenador. Se pueden organizar secuencialmente, en paralelo o en una matriz de condiciones complejas.

  • Campos dinámicos: campos temporales, determinados por el esquema de salida de los desencadenadores y las acciones, y rellenados por su salida real, que se pueden usar en las acciones siguientes.

Tipos de aplicación lógica

Ahora, Microsoft Sentinel admite los siguientes tipos de recursos de aplicación lógica:

  • Consumo, que se ejecuta en Azure Logic Apps multiinquilino y usa el motor clásico y original de Azure Logic Apps.
  • Estándar, que se ejecuta en Azure Logic Apps de un solo inquilino y usa un motor de Azure Logic Apps rediseñado.

El tipo de aplicación lógica Estándar ofrece un mayor rendimiento, precios fijos, varias funcionalidades de flujo de trabajo, una administración más sencilla de las conexiones de API, funcionalidades de red nativas, como la compatibilidad con redes virtuales y puntos de conexión privados (consulte la nota siguiente), características integradas de CI/CD, una mejor integración con Visual Studio Code, un diseñador de flujos de trabajo actualizado, etc.

Para usar esta versión de aplicación lógica, cree nuevos cuadernos de estrategias Estándar en Microsoft Sentinel (consulte la nota siguiente). Puede usar estos cuadernos de estrategias de las mismas maneras que usa cuadernos de estrategias de Consumo:

  • Adjúntelos a reglas de automatización o de análisis.
  • Ejecútelos a petición, tanto con incidentes como con alertas.
  • Adminístrelos desde la pestaña Cuadernos de estrategias activos.

Nota

  • Actualmente, los flujos de trabajo Estándar no admiten plantillas de cuadernos de estrategias, lo que significa que no se puede crear directamente en Microsoft Sentinel un cuaderno de estrategias basado en un flujo de trabajo Estándar. En su lugar, debe crear el flujo de trabajo en Azure Logic Apps. Después de crear el flujo de trabajo, aparece como cuaderno de estrategias en Microsoft Sentinel.

  • Los flujos de trabajo estándar de Logic Apps admiten puntos de conexión privados como se mencionó anteriormente, pero Microsoft Sentinel requiere definir una directiva de restricción de acceso en Logic Apps para admitir el uso de puntos de conexión privados en cuadernos de estrategias basados en flujos de trabajo estándar.

    Si no se define una directiva de restricción de acceso, es posible que los flujos de trabajo con puntos de conexión privados sigan siendo visibles y seleccionables cuando elija un cuaderno de estrategias de una lista de Microsoft Sentinel (para ejecutarse manualmente, agregarse a una regla de automatización o en la galería de cuadernos de estrategias), pero se producirá un error en su ejecución.

  • Un indicador identifica los flujos de trabajo Estándar como con estado o sin estado. Microsoft Sentinel no admite los flujos de trabajo sin estado en este momento. Aprenda las diferencias entre los flujos de trabajo con y sin estado.

Hay muchas diferencias entre estos dos tipos de recursos, algunas de las cuales afectan a las formas de uso de estos en los cuadernos de estrategias de Microsoft Sentinel. En tales casos, la documentación le indicará lo que necesita saber. Para más información, consulte Diferencias de tipo de recurso y entorno de host en la documentación de Azure Logic Apps.

Permisos necesarios

Para dar a su equipo de SecOps la capacidad de usar Azure Logic Apps para crear y ejecutar cuadernos de estrategias en Microsoft Sentinel, asigne roles de Azure al equipo de operaciones de seguridad o a usuarios específicos del equipo. A continuación se describen los distintos roles disponibles y las tareas para las que se deben asignar:

Roles de Azure para Azure Logic Apps

  • Colaborador de aplicaciones lógicas permite administrar aplicaciones lógicas y ejecutar cuadernos de estrategias, pero no puede cambiar el acceso a ellos (para ello necesita el rol Propietario).
  • Operador de aplicaciones lógicas permite leer, habilitar y deshabilitar aplicaciones lógicas, pero no puede editarlas ni actualizarlas.

Roles de Azure para Microsoft Sentinel

  • El rol Colaborador de Microsoft Sentinel permite adjuntar un cuaderno de estrategias a una regla de análisis o de automatización.
  • El rol Respondedor de Microsoft Sentinel le permite acceder a un incidente para ejecutar un cuaderno de estrategias de forma manual. Sin embargo, para ejecutar en sí el cuaderno de estrategias, también necesita...
  • El rol Operador de cuaderno de estrategias de Microsoft Sentinel permite ejecutar un cuaderno de estrategias manualmente.
  • Colaborador de automatización de Microsoft Sentinel permite que las reglas de automatización ejecuten los cuadernos de estrategias. No se usa para ningún otro fin.

Más información

Pasos para crear un cuaderno de estrategias

Casos de uso de los cuadernos de estrategias

La plataforma de Azure Logic Apps ofrece cientos de acciones y desencadenadores, por lo que se puede crear prácticamente cualquier escenario de automatización. Microsoft Sentinel recomienda empezar por los escenarios de SOC siguientes, para los que hay disponibles plantillas de cuadernos de estrategias predefinidas de serie:

Enriquecimiento

Recopile datos y asócielos al incidente para tomar decisiones más inteligentes.

Por ejemplo:

Se ha creado un incidente de Microsoft Sentinel a partir de una alerta mediante una regla de análisis que genera entidades de direcciones IP.

El incidente desencadena una regla de automatización que ejecuta un cuaderno de estrategias con los pasos siguientes:

  • Se inicia cuando se crea un nuevo incidente de Microsoft Sentinel. Las entidades representadas en el incidente se almacenan en los campos dinámicos del desencadenador de incidente.

  • Para cada dirección IP, se consulta un proveedor externo de inteligencia sobre amenazas, como Virus Total, para recuperar más datos.

  • Se agregan los datos y los detalles devueltos como comentarios del incidente.

Sincronización bidireccional

Los cuadernos de estrategias se pueden usar para sincronizar los incidentes de Microsoft Sentinel con otros sistemas de vales.

Por ejemplo:

Cree una regla de automatización para cada creación de incidentes y adjunte un cuaderno de estrategias que abra una incidencia en ServiceNow:

Orquestación

Utilice la plataforma de chat del SOC para controlar mejor la cola de incidentes.

Por ejemplo:

Se ha creado un incidente de Microsoft Sentinel a partir de una alerta mediante una regla de análisis que genera entidades de nombres de usuario y direcciones IP.

El incidente desencadena una regla de automatización que ejecuta un cuaderno de estrategias con los pasos siguientes:

  • Se inicia cuando se crea un nuevo incidente de Microsoft Sentinel.

  • Se envía un mensaje al canal de operaciones de seguridad en Microsoft Teams o Slack para asegurarse de que los analistas de seguridad son conscientes del incidente.

  • Se envía toda la información de la alerta por correo electrónico al administrador de seguridad y al administrador de red sénior. El mensaje de correo electrónico incluirá los botones de opciones de usuario Bloquear e Ignorar.

  • Se espera hasta que se reciba una respuesta de los administradores y, a continuación, se continúa con la ejecución.

  • Si los administradores han elegido Bloquear, se envía un comando al firewall para bloquear la dirección IP de la alerta y otro a Azure AD para deshabilitar el usuario.

Response

Responda inmediatamente a las amenazas con las mínimas dependencias humanas.

Dos ejemplos:

Ejemplo 1: Responder a una regla de análisis que indica que un usuario está en peligro, según la detección de Azure AD Identity Protection:

  • Se inicia cuando se crea un nuevo incidente de Microsoft Sentinel.

  • Para cada entidad de usuario del incidente sospechosa de estar en peligro:

    • Se envía un mensaje de Teams al usuario solicitando la confirmación de que el usuario realizó la acción sospechosa.

    • Se comprueba con Azure AD Identity Protection para confirmar que el estado del usuario está en peligro. Azure AD Identity Protection etiquetará al usuario como de riesgo y aplicará cualquier directiva de cumplimiento ya configurada (por ejemplo, para requerir que el usuario use MFA la próxima vez que inicie sesión).

      Nota

      Esta acción concreta de Azure AD no inicia ninguna acción de cumplimiento en el usuario, ni tampoco inicia ninguna configuración de directiva de cumplimiento. Solo indica a Azure AD Identity Protection que aplique las directivas ya definidas según corresponda. Cualquier medida de cumplimiento depende en su totalidad de las directivas correspondientes definidas en Azure AD Identity Protection.

Ejemplo 2: Responder a una regla de análisis que indica que una máquina está en peligro, según la detección de Microsoft Defender para punto de conexión:

Respuesta manual durante la investigación o la búsqueda

Respuesta a las amenazas en el curso de una actividad de investigación activa sin salir del contexto.

Gracias al nuevo desencadenador de entidad (ahora en versión preliminar), puede emprender acciones inmediatas respecto a los actores de amenazas individuales que detecte durante una investigación, de uno en uno y directamente desde la propia investigación. Esta opción también está disponible en el contexto de búsqueda de amenazas, sin conexión con ningún incidente determinado. Puede seleccionar una entidad en contexto y actuar en ella sin necesidad de desplazarse, lo que ahorra tiempo y reduce la complejidad.

Entre las acciones que se pueden realizar en las entidades con este tipo de cuaderno de estrategias se incluyen:

  • Bloquear a un usuario en peligro.
  • Bloquear el tráfico procedente de una dirección IP malintencionada en el firewall.
  • Aislar un host en peligro en la red.
  • Agregar una dirección IP a una lista de reproducción de direcciones seguras o no seguras o a la base de datos CMDB externa.
  • Obtener un informe hash de archivo de un origen de inteligencia sobre amenazas externo y agregarlo a un incidente como comentario.

Ejecución de un cuaderno de estrategias

Los cuadernos de estrategias se pueden ejecutar de forma manual o automática.

Están diseñados para ejecutarse automáticamente y lo ideal es que se ejecuten en el curso normal de las operaciones. Para ejecutar automáticamente un cuaderno de estrategias se establece como respuesta automatizada en una regla de análisis (para las alertas) o como acción en una regla de automatización (para los incidentes).

Sin embargo, hay circunstancias en las que es necesario ejecutar cuadernos de estrategias manualmente. Por ejemplo:

  • Al crear un cuaderno de estrategias, querrá probarlo antes de ponerlo en producción.

  • Puede haber situaciones en las que quiera tener más control e intervención humana sobre cuándo y por qué se ejecuta un cuaderno de estrategias determinado.

    Para ejecutar un cuaderno de estrategias manualmente, abra un incidente, una alerta o una entidad y seleccione y ejecute el cuaderno de estrategias asociado que se muestra allí. Actualmente, esta característica está disponible con carácter general para alertas y en versión preliminar para incidentes y entidades.

Establecimiento de una respuesta automatizada

Los equipos de operaciones de seguridad pueden reducir de forma significativa su carga de trabajo al automatizar completamente las respuestas rutinarias a tipos de incidentes y alertas recurrentes, lo que le permite concentrarse más en las alertas y los incidentes singulares, analizar patrones, buscar amenazas y mucho más.

La configuración de la respuesta automatizada significa que cada vez que se desencadena una regla de análisis, además de crear una alerta, la regla ejecutará un cuaderno de estrategias, que recibirá como entrada la alerta creada por la regla.

Si la alerta crea un incidente, el incidente desencadenará una regla de automatización que, a su vez, puede ejecutar un cuaderno de estrategias que recibirá como entrada el incidente creado por la alerta.

Respuesta automatizada en la creación de alertas

En el caso de los cuadernos de estrategias desencadenados por la creación de alertas y que reciben alertas como entradas (el primer paso es una "alerta de Microsoft Sentinel"), adjunte el cuaderno de estrategias a una regla de análisis:

  1. Edite la regla de análisis que genera la alerta para la que desea definir una respuesta automatizada.

  2. En Alert automation (Automatización de alertas), en la pestaña Automated response (Respuesta automática), seleccione el o los cuadernos de estrategias que desencadenará esta regla de análisis cuando se cree una alerta.

Respuesta automatizada en la creación de incidentes

En el caso de los cuadernos de estrategias desencadenados por la creación de incidentes y que reciben incidentes como entradas (el primer paso es un "incidente de Microsoft Sentinel"), cree una regla de automatización y defina una acción Ejecutar cuaderno de estrategias en ella. Esto se puede llevar a cabo de 2 maneras:

  • Edite la regla de análisis que genera el incidente para el que desea definir una respuesta automatizada. En Incident automation (Automatización de incidentes), en la pestaña Automated response (Respuesta automática), cree una regla de automatización. Esto creará una respuesta automatizada solo para esta regla de análisis.

  • En la pestaña Automation rules (Reglas de automatización) de la hoja Automation (Automatización), cree una nueva regla de automatización y especifique las condiciones adecuadas y las acciones deseadas. Esta regla de automatización se aplicará a cualquier regla de análisis que cumpla las condiciones especificadas.

    Nota

    Microsoft Sentinel requiere permisos para ejecutar cuadernos de estrategias de desencadenadores de incidentes.

    Para ejecutar un cuaderno de estrategias basado en el desencadenador de incidentes, ya sea manualmente o desde una regla de automatización, Microsoft Sentinel usa una cuenta de servicio específicamente autorizada para ello. El uso de esta cuenta (en contraposición a su cuenta de usuario) aumenta el nivel de seguridad del servicio y permite que la API de reglas de automatización admita los casos de uso de CI/CD.

    A esta cuenta se le deben conceder permisos explícitos (con la forma del rol Colaborador de automatización de Microsoft Sentinel) en el grupo de recursos donde reside el cuaderno de estrategias. En ese momento, podrá ejecutar cualquier cuaderno de estrategias en ese grupo de recursos, ya sea manualmente o desde cualquier regla de automatización.

    Al agregar la acción Ejecutar cuaderno de estrategias a una regla de automatización, aparecerá una lista desplegable de cuadernos de estrategias para su selección. Los cuadernos de estrategias en los que Microsoft Sentinel no tiene permisos se mostrarán como no disponibles ("atenuados"). Puede conceder permisos a Microsoft Sentinel aquí mismo; para ello, seleccione el vínculo Manage playbook permissions (Administrar permisos del cuaderno de estrategias).

    En un escenario de varios inquilinos (Lighthouse), debe definir los permisos en el inquilino en el que reside el cuaderno de estrategias, incluso si la regla de automatización que llama al cuaderno de estrategias está en otro inquilino. Para ello, debe tener permisos de Propietario en el grupo de recursos del cuaderno de estrategias.

    Hay un escenario único al que se enfrenta un proveedor de servicios de seguridad administrada (MSSP) , en el que un proveedor de servicios, que ha iniciado sesión en su propio inquilino, crea una regla de automatización en el área de trabajo de un cliente mediante Azure Lighthouse. A continuación, esta regla de automatización llama a un cuaderno de estrategias que pertenece al inquilino del cliente. En este caso, se deben otorgar permisos a Microsoft Sentinel en ambos inquilinos. En el inquilino del cliente, se le concede en el panel Administrar permisos del cuaderno de estrategias, al igual que en el escenario multiinquilino normal. Para conceder los permisos pertinentes en el inquilino del proveedor de servicios, debe agregar una delegación de Azure Lighthouse adicional que conceda derechos de acceso a la aplicación Azure Security Insights, con el rol Colaborador de automatización de Microsoft Sentinel, en el grupo de recursos donde reside el cuaderno de estrategias. Más información sobre cómo agregar esta delegación.

Consulte las instrucciones completas para crear reglas de automatización.

Ejecución manual de un cuaderno de estrategias

La automatización completa es la mejor solución para las tareas de control, investigación y mitigación de incidentes que quiera automatizar. Sin embargo, también puede haber buenas razones para optar por una especie de automatización híbrida: usar cuadernos de estrategias para consolidar una cadena de actividades en un rango de sistemas en un solo comando, pero ejecutar los cuadernos de estrategias solo cuándo y dónde decida. Por ejemplo:

  • Puede que prefiera que los analistas de SOC intervengan y controlen personalmente en mayor medida en algunas situaciones.

  • Es posible que también quiera que puedan tomar medidas frente a actores de amenazas (entidades) específicos a petición, en el curso de una investigación o una búsqueda de amenazas, en contexto sin tener que cambiar a otra pantalla. (Esta capacidad se encuentra ahora en versión preliminar).

  • Puede que quiera que los ingenieros de SOC escriban cuadernos de estrategias que actúen en entidades específicas (ahora en versión preliminar) y que solo se puedan ejecutar manualmente.

  • Posiblemente quiera que los ingenieros puedan probar los cuadernos de estrategias que escriben antes de implementarlos por completo en reglas de automatización.

Por estas y por otras razones, Microsoft Sentinel permite ejecutar cuadernos de estrategias manualmente a petición para entidades e incidentes (ambos en versión preliminar), así como para alertas.

  • Para ejecutar un cuaderno de estrategias en un incidente específico, seleccione el incidente en la cuadrícula de la hoja Incidentes. Seleccione Acciones en el panel de detalles de incidentes y elija Ejecutar cuaderno de estrategias (versión preliminar) en el menú contextual.

    Se abrirá el panel Ejecutar cuaderno de estrategias en un incidente.

  • Para ejecutar un cuaderno de estrategias en una alerta, seleccione un incidente, escriba los detalles de este y, en la pestaña Alertas, elija una alerta y seleccione Ver cuadernos de estrategias.

    Con esto, se abrirá el panel Cuadernos de estrategias de alertas.

  • Para ejecutar un cuaderno de estrategias en una entidad, seleccione una entidad de cualquiera de las formas siguientes:

    • En la pestaña Entidades de un incidente, elija una entidad de la lista y seleccione el vínculo Ejecutar cuaderno de estrategias (versión preliminar) al final de la línea en la que aparece en la lista.
    • En Gráfico de investigación, seleccione una entidad y elija el botón Ejecutar cuaderno de estrategias (versión preliminar) en el panel lateral de la entidad.
    • En Comportamiento de la entidad, seleccione una entidad y, en la página de la entidad, seleccione el botón Ejecutar cuaderno de estrategias (versión preliminar) en el panel izquierdo.

    Todo esto abrirá el panel Ejecutar cuaderno de estrategias en <tipo de entidad>.

En cualquiera de estos paneles, verá dos pestañas: Cuadernos de estrategias y Ejecuciones.

  • En la pestaña Cuadernos de estrategias, verá una lista de todos los cuadernos de estrategias a los que tiene acceso y que usan el desencadenador adecuado, ya sea Incidente de Microsoft Sentinel, Alerta de Microsoft Sentinel o Entidad de Microsoft Sentinel. Cada cuaderno de estrategias de la lista tiene un botón Ejecutar que se selecciona para ejecutar el cuaderno de estrategias inmediatamente.
    Si desea ejecutar un cuaderno de estrategias de desencadenador de incidentes que no aparece en la lista, consulte la nota anterior sobre los permisos de Microsoft Sentinel.

  • En la pestaña Ejecuciones, verá una lista de todas las veces que se ha ejecutado cualquier cuaderno de estrategias en el incidente o la alerta que seleccionó. Una ejecución completada recientemente puede tardar unos segundos en aparecer en esta lista. Si selecciona una ejecución específica, se abrirá el registro de ejecuciones completo en Azure Logic Apps.

Administración de los cuadernos de estrategias

En la pestaña Cuadernos de estrategias activos aparece una lista de todos los cuadernos de estrategias a los que tiene acceso, filtrados por las suscripciones que se muestran actualmente en Azure. El filtro de suscripciones está disponible en el menú Directory + subscription (Directorio + suscripción) del encabezado de página global.

Al hacer clic en un nombre de cuaderno de estrategias, se le dirigirá a la página principal del cuaderno de estrategias en Azure Logic Apps. La columna Estado indica si está habilitado o deshabilitado.

La columna Plan indica si el cuaderno de estrategias usa el tipo de recurso Standard o Consumo en Azure Logic Apps. Puede filtrar la lista por tipo de plan para ver solo un tipo de cuaderno de estrategias. Observará que los cuadernos de estrategias del tipo Standard usan la convención de nomenclatura LogicApp/Workflow. Esta convención refleja el hecho de que un cuaderno de estrategias estándar representa un flujo de trabajo que existe junto con otros flujos de trabajo en una sola aplicación lógica.

El tipo de desencadenador representa el desencadenador de Azure Logic Apps que inicia este cuaderno de estrategias.

Tipo de desencadenador Indica los tipos de componente del cuaderno de estrategias
Incidente, alerta o entidad de Microsoft Sentinel El cuaderno de estrategias se inicia con uno de los desencadenadores de Sentinel (incidente, alerta o entidad).
Uso de la acción de Microsoft Sentinel El cuaderno de estrategias se inicia con un desencadenador que no es de Sentinel, pero usa una acción de Microsoft Sentinel.
Otros El cuaderno de estrategias no incluye ningún componente de Sentinel.
No inicializado El cuaderno de estrategias se ha creado, pero no contiene componentes (desencadenadores o acciones).

En la página de Azure Logic Apps del cuaderno de estrategias, puede ver más información sobre el cuaderno de estrategias, incluido un registro de todas las veces que se ha ejecutado y su resultado (correcto o con errores, y otros detalles). También puede abrir el diseñador de flujos de trabajo en Azure Logic Apps y editar el cuaderno de estrategias directamente, si tiene los permisos adecuados.

Conexiones de API

Las conexiones de API se usan para conectar Azure Logic Apps a otros servicios. Cada vez que se realiza una nueva autenticación en un conector de Azure Logic Apps, se crea un nuevo recurso de tipo conexión de API, que contiene la información proporcionada al configurar el acceso al servicio.

Para ver todas las conexiones de API, escriba conexiones de API en el cuadro de búsqueda del encabezado de Azure Portal. Anote las columnas de interés:

  • Nombre para mostrar: el nombre "descriptivo" que se asigna a la conexión cada vez que se crea una.
  • Estado: indica el estado de la conexión: error o conectado.
  • Grupo de recursos: las conexiones de API se crean en el grupo de recursos del recurso del cuaderno de estrategias (Azure Logic Apps).

Otra manera de ver las conexiones de API sería ir a la hoja Todos los recursos y filtrar por el tipo Conexión de API. De esta manera se permite la selección, el etiquetado y la eliminación de varias conexiones a la vez.

Para cambiar la autorización de una conexión existente, escriba el recurso de conexión y seleccione Editar conexión de API.

Los siguientes cuadernos de estrategias recomendados y otros similares están disponibles en el repositorio de GitHub de Microsoft Sentinel:

Pasos siguientes