Creare regole di automazione di base con flussi semplici nel portale di Microsoft Defender (anteprima)

  • Si applica a: Microsoft Sentinel in the Microsoft Defender portal

Flussi semplici è una raccolta di azioni di automazione predefinite nel portale di Microsoft Defender. Con i flussi semplici è possibile creare una regola di automazione funzionante scegliendo un trigger e aggiungendo un'unica azione pronta: nessun playbook, nessuna app per la logica. Usare Flussi semplici per inviare notifiche tramite posta elettronica, aggiornare i campi del caso, aggiungere attività di indagine e aggiornare gli avvisi direttamente dalla procedura guidata della regola di automazione.

Questo articolo illustra come i flussi semplici si inseriscono nel motore delle regole di automazione, descrive i nuovi trigger e le azioni, mostra quali azioni sono disponibili per ogni trigger e illustra gli esempi end-to-end per scenari SOC comuni.

Importante

Simple Flows è attualmente in anteprima pubblica. Consultare i Termini di utilizzo supplementari per le anteprime di Microsoft Azure per i termini legali aggiuntivi applicabili alle funzionalità di Azure in versione beta, in anteprima o non ancora rilasciate in disponibilità generale.

Importante

Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender.

Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza unificata delle operazioni di sicurezza offerte da Microsoft Defender.

Che cos'è i flussi semplici?

Le regole di automazione nel portale di Microsoft Defender seguono un modello in tre parti:

Trigger>Condizioni>Azione

Un trigger è l'evento che avvia la regola, ad esempio viene creato un caso. Le condizioni filtrano gli eventi a cui si applica la regola( ad esempio, solo i casi con gravità elevata). Le azioni sono le operazioni eseguite dalla regola quando vengono soddisfatte le condizioni.

Simple Flows estende questo modello con nuovi trigger e azioni che riguardano l'esperienza dei casi nel portale Defender, oltre a un'azione di aggiornamento dell'avviso che funziona con il trigger Avviso creato esistente. Ogni azione è un singolo blocco predefinito configurabile. Non è necessario scrivere codice, compilare un'app per la logica o generare un playbook.

Simple Flows è progettato per i team del Security Operations Center (SOC) che hanno bisogno di un’automazione rapida e ripetibile. I gruppi di destinatari comuni includono:

  • Analisti SOC che vogliono automatizzare la gestione dei casi di routine e degli avvisi senza uscire dalla procedura guidata delle regole di automazione.
  • Amministratori della sicurezza che definiscono i criteri di automazione nel SOC.
  • Tecnici della sicurezza che estendono l'automazione delle risposte agli eventi imprevisti come parte di una strategia di orchestrazione, automazione e risposta (SOAR) di sicurezza più ampia.

Per una panoramica completa delle regole di automazione, vedere Automatizzare la risposta alle minacce in Microsoft Sentinel con regole di automazione.

Prerequisiti

Prima di creare regole di automazione con Flussi semplici, assicurarsi di disporre di:

  • Accesso ai casi nel portale di Microsoft Defender. I flussi semplici sono disponibili per:
  • Uno dei ruoli seguenti o un ruolo personalizzato equivalente con l'autorizzazione per gestire regole e casi di automazione:
    • Microsoft Sentinel Collaboratore (per creare e modificare le regole di automazione).
    • Operatore di sicurezza o amministratore della sicurezza in Microsoft Defender XDR (per gestire casi e avvisi).
  • Per l'azione Aggiorna avviso: l'account deve avere l'autorizzazione per aggiornare gli avvisi nel prodotto di origine e (per gli avvisi Microsoft Sentinel) i connettori dati che producono gli avvisi devono essere abilitati.

Per una descrizione completa dei requisiti di autorizzazione per le regole di automazione, vedere Automatizzare la risposta alle minacce in Microsoft Sentinel con regole di automazione.

Nuovi trigger

Simple Flows aggiunge due nuovi trigger al motore delle regole di automazione. Il trigger creato dall'avviso preesistente non fa parte di Flussi semplici, ma è elencato qui perché la nuova azione Aggiorna avviso la usa.

Trigger Si attiva quando Contesto disponibile Condizione
Caso creato Un nuovo caso viene creato manualmente, automaticamente dalla correlazione XDR, tramite l'API o da un'altra regola di automazione. ID del caso, Titolo, Gravità, Stato, Proprietario, Descrizione, Tag, Origine, Ora di creazione, oltre a eventuali campi personalizzati del caso definiti nel tenant. Anteprima pubblica
Caso aggiornato Viene modificato un caso esistente: stato, gravità, proprietario, tag, attività o altri campi del caso. ID del caso, Titolo, Gravità (precedente e nuova), Stato (precedente e nuovo), Proprietario, Tag, Ora di aggiornamento, più eventuali campi personalizzati del caso definiti nel tenant. Anteprima pubblica
Avviso creato(esistente) Viene creato un nuovo avviso in Microsoft Sentinel o Microsoft Defender XDR. ID avviso, Titolo, Gravità, Stato, Fornitore, Tattiche, Entità. Generalmente disponibile

Comportamenti dei trigger da conoscere

  • Prevenzione dei loop. Il motore deduplica gli eventi in modo che la stessa regola non venga riattivata nello stesso caso all'interno di un singolo ciclo di valutazione. In questo modo è possibile evitare cicli infiniti in cui un aggiornamento di automazione attiva nuovamente la regola che l'ha generata.
  • Un fuoco per ogni salvataggio. Quando si salvano contemporaneamente diverse modifiche a un caso (ad esempio, si modificano insieme gravità e proprietario), il trigger Case updated viene attivato una sola volta e valuta tutte le condizioni in base allo stato finale, e non una volta per ciascun campo.
  • Valori vecchi e nuovi. Il trigger Caso aggiornato rende disponibili sia i valori precedenti sia quelli nuovi dei campi modificati, così da poter definire condizioni precise come "Gravità modificata da media ad alta."
  • Priorità della regola. Se più regole corrispondono allo stesso evento, vengono eseguite nell'ordine di priorità configurato nella pagina Automazione .

Informazioni di riferimento sulle azioni

I flussi semplici introducono sei azioni in due categorie: azioni caso (guidate da Gestione dei casi) e un'azione di avviso (guidata dall'API Avvisi). Tutte le azioni vengono eseguite tramite la piattaforma Azioni unificate, che instrada ogni azione al servizio downstream corretto.

Azione Trigger compatibili Campi configurabili Comportamento e limiti
Invia email di creazione del caso Caso creato Indirizzi di posta elettronica dei destinatari (uno o più). Invia una notifica tramite posta elettronica quando viene creato un nuovo caso. Usa un modello di posta elettronica gestito Microsoft fisso con contesto del caso (ID caso, titolo, gravità, stato, proprietario e collegamento del caso). Il mittente è Microsoft Security.
Invia messaggio di posta elettronica aggiornato del caso Caso aggiornato Indirizzi di posta elettronica del destinatario. Invia una notifica tramite posta elettronica quando viene aggiornato un caso. Usa un modello fisso con il contesto del caso e i valori precedenti e nuovi dei campi modificati. Si attiva una volta per ogni salvataggio.
Caso di aggiornamento Caso creato, Caso aggiornato Campi standard: Nome, Descrizione, Assegna a, Priorità, Stato, Scadenza, Note di chiusura, Destinatari di posta elettronica, Periodo di tolleranza. Inoltre, tutti i campi personalizzati del caso definiti nel tenant. Modifica uno o più campi del caso in una singola azione. Impostare solo i campi da modificare; altri campi rimangono invariati. Gli aggiornamenti di più campi in un'unica azione Aggiorna caso vengono conteggiati come un solo salvataggio e generano un singolo evento Caso aggiornato a valle.
Aggiungi attività Caso creato, Caso aggiornato Per attività: Nome (obbligatorio), Stato, Priorità, Assegna a, Scadenza, Descrizione, Note di chiusura. Aggiunge una o più attività di indagine a un caso, nell'ordine elencato. Limite: fino a 10 attività per regola. L'azione non elimina i duplicati, quindi le esecuzioni ripetute della regola aggiungono nuovamente le attività. Usare le condizioni Caso aggiornato per evitare la riattivazione indesiderata.
Avviso aggiornamento Avviso creato Stato, Classificazione, Determinazione, Assegnato a. Modifica i campi di un avviso di Microsoft Sentinel o Microsoft Defender XDR. Viene eseguito tramite l'API Avvisi e si riflette immediatamente sull'avviso. Utile per la valutazione automatica di avvisi ad alto volume e bassa fedeltà.

Note

Le tre azioni di posta elettronica condividono i vincoli seguenti in questa versione: i messaggi di posta elettronica usano un modello fisso Microsoft gestito (nessuna personalizzazione), il mittente è sempre Microsoft Security, i destinatari CC e BCC non sono supportati e le esecuzioni di posta elettronica non vengono scritte nel log di controllo dei casi, quindi non è possibile verificare dalla sequenza temporale del caso che è stata inviata una notifica.

Compatibilità dei trigger e delle azioni

Non tutte le azioni funzionano con ogni trigger. La matrice seguente mostra le combinazioni supportate in questa versione.

Azione Caso creato Caso aggiornato Avviso creato
Invia e-mail di creazione del caso ✅
Invia messaggio di posta elettronica aggiornato del caso ✅
Aggiorna caso ✅ ✅
Aggiungi attività ✅ ✅
Aggiorna avviso ✅

Procedure dettagliate end-to-end

Gli esempi seguenti illustrano come combinare trigger, condizioni e azioni dei flussi semplici per distribuire flussi di lavoro SOC comuni.

Esempio 1: Valutazione automatica degli avvisi con bassa fedeltà in base alla classificazione

Classificare automaticamente come benigni gli avvisi informativi provenienti da un provider specifico, in modo che la coda resti focalizzata sulle minacce reali.

  1. Nel portale di Microsoft Defender passare a Microsoft Sentinel>Automation e selezionare + Crea>regola di automazione.
  2. In Trigger selezionare Quando viene creato un avviso.
  3. In Condizioni aggiungere:
    • ProviderequalsMicrosoft Defender per endpoint
    • Gravitàuguale ainformazioni
  4. In Azioni aggiungere l'avviso di aggiornamento con:
    • Classificazione: Positivo benigno
    • Stato: risolto
  5. Salva la regola.

Esempio 2: Alzare di livello le attività quando un caso passa ad Analisi

Aggiungere un elenco di controllo appropriato per la fase al momento in cui un analista inizia l'analisi.

  1. Da Microsoft Sentinel>Automation creare una nuova regola di automazione.
  2. In Trigger selezionare Quando viene aggiornato un caso.
  3. In Condizioni, aggiungi: StatoModificato inIndagine in corso.
  4. In Azioni aggiungere Aggiungi attività con le attività che si vuole che l'analista segua durante la fase di indagine.
  5. Salva la regola.

Tip

Combina i vecchi e i nuovi valori del trigger Caso aggiornato con la priorità delle regole per stratificare le regole senza conflitti. Una regola generica che si applica a tutti i casi può essere abbinata a una regola con priorità più alta che aggiunge azioni supplementari solo quando il livello di gravità passa a Alto o Critico.

Contenuti correlati

  • Last updated on