Utiliser des tâches d’incident dans Microsoft Sentinel
Cet article explique comment les analystes de SOC peuvent utiliser des tâches d’incident pour gérer leurs processus de workflow de gestion des incidents dans Microsoft Sentinel.
Les tâches d’incident sont généralement créées automatiquement par des règles d’automatisation ou des playbooks configurés par des analystes senior ou des responsables de SOC, mais les analystes de niveau inférieur peuvent créer leurs propres tâches à chaud, manuellement, directement à partir de l’incident.
La liste des tâches à effectuer pour un incident particulier est visible dans la page des détails de l’incident. Vous pouvez les marquer comme terminées au fur et à mesure.
Cas d’usage pour les différents rôles
Cet article traite des scénarios suivants, qui s’appliquent aux analystes de SOC :
D’autres articles, dont les liens figurent ci-dessous, traitent de scénarios qui s’appliquent davantage aux responsables de SOC, aux analystes senior et aux ingénieurs en automatisation :
- Afficher les règles d’automatisation avec des actions de tâche d’incident
- Ajouter des tâches aux incidents avec des règles d’automatisation
- Ajouter des tâches aux incidents avec des playbooks
Prérequis
Le rôle Répondeur Microsoft Sentinel est nécessaire pour créer des règles d’automatisation et pour voir et modifier les incidents, ce qui est à la fois nécessaire pour ajouter, afficher et modifier des tâches.
Afficher et suivre des tâches d’incident
Dans la page Incidents, sélectionnez un incident dans la liste, puis Afficher les détails complets sous Tâches dans le volet d’informations, ou bien sélectionnez Afficher les détails complets au bas du volet d’informations.
Si vous avez choisi d’accéder à la page des détails complets, sélectionnez Tâches dans la bannière supérieure.
Le panneau Tâches d’incident s’ouvre sur le côté droit de l’écran dans lequel vous étiez (la page principale des incidents ou la page de détails de l’incident). Vous pouvoir voir la liste des tâches définies pour cet incident, ainsi que la façon dont il a été créé ou par qui il a été créé, que ce soit manuellement ou par une règle d’automatisation ou un playbook.
Les tâches qui ont des descriptions sont marquées avec une flèche pouvant être développée. Développez une tâche pour voir sa description complète.
Marquez une tâche comme terminée en cochant le cercle situé en regard de son nom. Une coche s’affiche dans le cercle et le texte de la tâche est grisé. Consultez l’exemple « Réinitialiser le mot de passe de l’utilisateur » dans les captures d’écran ci-dessus.
Ajouter manuellement une tâche ad hoc à un incident
Vous pouvez également ajouter des tâches pour vous-même, à chaud, à la liste des tâches d’un incident. Cette tâche s’applique uniquement à l’incident ouvert. Cela s’avère utile si votre investigation vous mène dans de nouvelles directions et que vous pensez à de nouvelles choses que vous devez vérifier. L’ajout de telles tâches vous permet de ne pas oublier de les effectuer, de garder une trace de ce que vous avez fait et d’en faire profiter d’autres analystes et responsables.
Sélectionnez + Ajouter une tâche en haut du panneau Tâches d’incident.
Entrez un titre pour votre tâche et une description si vous le souhaitez.
Quand vous avez terminé, sélectionnez Enregistrer.
Observez votre nouvelle tâche au bas de la liste des tâches. Notez que les tâches créées manuellement arborent une bande de couleurs différente sur le côté gauche, et que votre nom apparaît derrière Créé par : sous le titre et la description de la tâche.
Étapes suivantes
- Découvrez-en plus sur les tâches d’incident.
- Découvrez comment investiguer des incidents.
- Découvrez comment ajouter automatiquement des tâches à des groupes d’incidents à l’aide de règles d’automatisation ou de playbooks, ainsi que dans quelles circonstances les utiliser.
- En savoir plus sur le suivi de vos tâches.
- Découvrez-en plus sur les règles d’automatisation et la manière de les créer.
- Découvrez-en plus sur les playbooks et la manière de les créer.