Créer des règles d’automatisation de base avec des flux simples dans le portail Microsoft Defender (préversion)

  • S’applique à: Microsoft Sentinel in the Microsoft Defender portal

Les flux simples sont une collection d’actions d’automatisation prédéfinies dans le portail Microsoft Defender. Avec Les flux simples, vous pouvez créer une règle d’automatisation opérationnelle en choisissant un déclencheur et en ajoutant une action unique prête à l’action : aucun playbook, aucune application logique. Utilisez des flux simples pour envoyer des notifications par e-mail, mettre à jour les champs de cas, ajouter des tâches d’investigation et mettre à jour des alertes directement à partir de l’Assistant Règle d’automatisation.

Cet article explique comment les flux simples s’intègrent dans le moteur de règles d’automatisation, décrit les nouveaux déclencheurs et actions, indique quelles actions sont disponibles pour chaque déclencheur, et décrit des exemples de bout en bout pour les scénarios SOC courants.

Important

Simple Flows est actuellement en aperçu public. Consultez les conditions d’utilisation supplémentaires pour les préversions Microsoft Azure pour obtenir des conditions légales supplémentaires qui s’appliquent aux fonctionnalités Azure en version bêta, en préversion ou qui ne sont pas encore publiées en disponibilité générale.

Important

Après le 31 mars 2027, Microsoft Sentinel ne sera plus pris en charge dans le portail Azure et sera disponible uniquement dans le portail Microsoft Defender. Tous les clients utilisant Microsoft Sentinel dans le portail Azure sont redirigés vers le portail Defender et utilisent Microsoft Sentinel uniquement dans le portail Defender.

Si vous utilisez toujours Microsoft Sentinel dans le portail Azure, nous vous recommandons de commencer à planifier votre transition vers le portail Defender pour garantir une transition fluide et tirer pleinement parti de l’expérience unifiée des opérations de sécurité offerte par Microsoft Defender.

Qu’est-ce que les flux simples ?

Les règles d’automatisation dans le portail Microsoft Defender suivent un modèle en trois parties :

Déclencheur>Conditions>Action

Un déclencheur est l’événement qui démarre la règle (par exemple, un cas est créé). Les conditions filtrent les événements auxquels la règle s’applique (par exemple, uniquement les cas de gravité élevée). Les actions sont les opérations effectuées par la règle lorsque les conditions sont remplies.

Flux simples étend ce modèle avec de nouveaux déclencheurs et de nouvelles actions qui ciblent l’expérience de gestion des cas dans le portail Defender, ainsi qu’une action de mise à jour d’alerte qui fonctionne avec le déclencheur Alerte créée existant. Chaque action est un bloc de construction unique configurable. Vous n’avez pas besoin d’écrire du code, de générer une application logique ou de générer un playbook.

Les flux simples sont conçus pour les équipes soc (Security Operations Center) qui ont besoin d’une automatisation rapide et reproductible. Les audiences courantes sont les suivantes :

  • Les analystes SOC qui souhaitent automatiser la gestion des cas et des alertes courants sans quitter l’assistant de règles d’automatisation.
  • Administrateurs de sécurité qui définissent des stratégies d’automatisation dans le SOC.
  • Ingénieurs de sécurité qui étendent l’automatisation de la réponse aux incidents dans le cadre d’une stratégie d’orchestration, d’automatisation et de réponse de sécurité plus grande.

Pour obtenir une vue d’ensemble complète des règles d’automatisation, consultez Automatiser la réponse aux menaces dans Microsoft Sentinel avec des règles d’automatisation.

Prerequisites

Avant de créer des règles d’automatisation avec des flux simples, assurez-vous d’avoir :

  • Accès aux cas dans le portail Microsoft Defender. Les flux simples sont disponibles pour :
  • Un des rôles suivants, ou un rôle personnalisé équivalent avec l’autorisation de gérer les règles d’automatisation et les cas :
    • Microsoft Sentinel Contributeur (pour créer et modifier des règles d’automatisation).
    • Opérateur de sécurité ou administrateur de sécurité dans Microsoft Defender XDR (pour gérer les cas et les alertes).
  • Pour l’action Mettre à jour l’alerte : votre compte doit avoir l’autorisation de mettre à jour les alertes dans le produit source et (pour Microsoft Sentinel alertes) les connecteurs de données qui produisent les alertes doivent être activés.

Pour obtenir une description complète des exigences d’autorisation pour les règles d’automatisation, consultez Automatiser la réponse aux menaces dans Microsoft Sentinel avec des règles d’automatisation.

Nouveaux déclencheurs

Simple Flows ajoute deux nouveaux déclencheurs au moteur de règles d’automatisation. Le déclencheur créé par l’alerte préexistante ne fait pas partie des flux simples, mais est répertorié ici, car la nouvelle action d’alerte de mise à jour l’utilise.

Trigger Se déclenche quand Contexte disponible Statut
Incident créé Un nouveau cas est créé manuellement, automatiquement à partir de la corrélation XDR, via l’API ou par une autre règle d’automatisation. ID de cas, titre, gravité, état, propriétaire, description, étiquettes, source, heure de création, ainsi que tous les champs personnalisés de cas définis dans votre locataire. Aperçu public
Incident mis à jour Un cas existant est modifié : état, gravité, propriétaire, balises, tâches ou autres champs de cas. ID du cas, Titre, Gravité (ancienne et nouvelle), Statut (ancien et nouveau), Propriétaire, Balises, Date et heure de mise à jour, ainsi que tous les champs personnalisés du cas définis dans votre tenant. Aperçu public
Alerte créée(existante) Une nouvelle alerte est créée dans Microsoft Sentinel ou Microsoft Defender XDR. ID d’alerte, titre, gravité, état, fournisseur, tactiques, entités. Généralement disponible

Comportements de déclenchement à connaître

  • Prévention des boucles. Le moteur supprime les doublons parmi les événements afin que la même règle ne se redéclenche pas pour un même cas au cours d’un même cycle d’évaluation. Cela vous protège des boucles infinies dans lesquelles une mise à jour d’automatisation redéclenche la règle qui l’a produite.
  • Un déclenchement par sauvegarde. Lorsque vous enregistrez en une seule fois plusieurs modifications apportées à un dossier (par exemple, changer le niveau de gravité et le responsable en même temps), le déclencheur Dossier mis à jour se déclenche une seule fois et évalue toutes les conditions en fonction de l’état final, et non une fois par champ.
  • Anciennes et nouvelles valeurs. Le déclencheur Dossier mis à jour fournit à la fois les anciennes et les nouvelles valeurs des champs modifiés, ce qui vous permet d’écrire des conditions précises telles que « La gravité est passée de Moyenne à Élevée. »
  • Priorité de la règle. Si plusieurs règles correspondent au même événement, elles s’exécutent dans l’ordre de priorité que vous configurez sur la page Automation .

Référence des actions

Les flux simples introduisent six actions dans deux catégories : les actions de cas (pilotées par gestion des cas) et une action d’alerte (pilotée par l’API Alertes). Toutes les actions s’exécutent via la plateforme Actions unifiées, qui route chaque action vers le service en aval approprié.

Action Déclencheurs compatibles Champs configurables Comportement et limites
Envoyer l’e-mail de création de dossier Dossier créé Adresses e-mail des destinataires (une ou plusieurs). Envoie une notification par e-mail lorsqu’un nouveau cas est créé. Utilise un modèle de messagerie géré par Microsoft fixe avec un contexte de cas (ID de cas, titre, gravité, état, propriétaire et lien de cas). L’expéditeur est Sécurité Microsoft.
Envoyer un e-mail de mise à jour du dossier Cas mis à jour Adresses e-mail des destinataires. Envoie une notification par e-mail lorsqu’un cas est mis à jour. Utilise un modèle fixe avec le contexte de cas et les anciennes/nouvelles valeurs des champs modifiés. Se déclenche une fois par sauvegarde.
Mettre à jour le dossier Case créée, Case mise à jour Champs standard : Nom, Description, Affectation à, Priorité, État, Date d’échéance, Notes de fermeture, Destinataires de courrier électronique, période de grâce. Plus tous les champs personnalisés définis dans votre locataire. Modifie un ou plusieurs champs de cas dans une seule action. Définissez uniquement les champs que vous souhaitez modifier ; les autres champs restent inchangés. Plusieurs mises à jour de champs dans une seule action Update Case comptent comme une seule sauvegarde et produisent un seul événement Case updated en aval.
Ajouter une tâche Case créée, Case mise à jour Par tâche : Nom (obligatoire),État, Priorité, Affecter à, Date d’échéance, Description, Notes de fermeture. Ajoute une ou plusieurs tâches d’investigation à un cas, dans l’ordre indiqué. Limite : jusqu’à 10 tâches par règle. L’action ne déduplique pas, de sorte que les exécutions répétées de règles ajoutent à nouveau des tâches. Utilisez les conditions Dossier mis à jour pour éviter un redéclenchement indésirable.
Alerte mise à jour Alerte créée Statut, Classification, Détermination, Attribué à. Modifie les champs d’une alerte Microsoft Sentinel ou Microsoft Defender XDR. S’exécute via l’API Alertes et est immédiatement reflétée sur l’alerte. Utile pour le tri automatique des alertes à volume élevé et basse fidélité.

Note

Les trois actions de messagerie partagent les contraintes suivantes dans cette version : les e-mails utilisent un modèle fixe, géré par Microsoft (aucune personnalisation), l'expéditeur est toujours Sécurité Microsoft, les destinataires CC et CCI ne sont pas pris en charge, et les exécutions de courrier ne sont pas écrites dans le journal d'audit de cas. Vous ne pouvez donc pas vérifier à partir de la chronologie de cas qu'une notification a été envoyée.

Compatibilité des déclencheurs et des actions

Toutes les actions ne fonctionnent pas avec chaque déclencheur. La matrice ci-dessous montre les combinaisons prises en charge dans cette version.

Action Dossier créé Cas mis à jour Alerte créée
Envoyer l’e-mail de création du dossier ✅
Envoyer un e-mail mis à jour par cas ✅
Scénario de mise à jour ✅ ✅
Ajouter une tâche ✅ ✅
Mettre à jour l’alerte ✅

Guides pas à pas de bout en bout

Les exemples suivants montrent comment combiner des déclencheurs, des conditions et des actions de flux simples pour fournir des flux de travail SOC courants.

Exemple 1 : Tri automatique des alertes de faible fidélité par classification

Résolvez automatiquement les alertes d’information d’un fournisseur spécifique en tant que positifs bénins afin que la file d’attente reste axée sur les menaces réelles.

  1. Dans le portail Microsoft Defender, accédez à Microsoft Sentinel>Automation, puis sélectionnez + Créer une>règle Automation.
  2. Sous Déclencheur, sélectionnez Quand une alerte est créée.
  3. Sous Conditions, ajoutez :
    • FournisseurégalMicrosoft Defender for Endpoint
    • GravitéÉgale àInformatif
  4. Sous Actions, ajoutez l’alerte de mise à jour avec :
    • Classification : Positif bénin
    • État : Résolu
  5. Enregistrez la règle.

Exemple 2 : Promouvoir les tâches lorsqu’un cas passe à l’examen

Ajoutez une liste de contrôle appropriée au moment où un analyste commence à examiner.

  1. À partir de Microsoft Sentinel>Automation, créez une règle d’automatisation.
  2. Sous Déclencheur, sélectionnez Quand un cas est mis à jour.
  3. Sous Conditions, ajoutez : ÉtatModifié enEn cours d’analyse.
  4. Sous Actions, ajoutez une tâche avec les tâches que vous souhaitez que l’analyste suive pendant la phase d’investigation.
  5. Enregistrez la règle.

Conseil / Astuce

Combinez les anciennes et les nouvelles valeurs du déclencheur Cas mis à jour avec la priorité des règles pour superposer les règles sans conflit. Une règle générique qui s’exécute sur chaque cas peut être jumelée à une règle de priorité supérieure qui ajoute des actions supplémentaires uniquement lorsque la gravité change à Haut ou Critique.

Contenu connexe

  • Dernière mise à jour :