Udostępnij za pośrednictwem

Automatyzowanie reagowania na zagrożenia za pomocą podręczników w usłudze Microsoft Sentinel

  • Artykuł
  • Dotyczy:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Analitycy SOC zajmują się wieloma alertami i zdarzeniami zabezpieczeń, a sama ilość może przeciążać zespoły, co prowadzi do ignorowania alertów i nieinwestycjonowanych zdarzeń. Wiele alertów i zdarzeń można rozwiązać za pomocą tych samych zestawów wstępnie zdefiniowanych akcji korygowania, które można zautomatyzować w celu zwiększenia wydajności SOC i zwolnienia analityków w celu dokładniejszego zbadania.

Podręczniki usługi Microsoft Sentinel umożliwiają uruchamianie wstępnie skonfigurowanych zestawów akcji korygujących w celu zautomatyzowania i organizowania reagowania na zagrożenia. Automatycznie uruchamiaj podręczniki w odpowiedzi na określone alerty i zdarzenia, które wyzwalają skonfigurowaną regułę automatyzacji, lub ręcznie i na żądanie dla określonej jednostki lub alertu.

Na przykład w przypadku naruszenia zabezpieczeń konta i komputera podręcznik może automatycznie odizolować maszynę od sieci i zablokować konto przez czas powiadamiania zespołu SOC o zdarzeniu.

Uwaga

Ponieważ podręczniki korzystają z usługi Azure Logic Apps, mogą być naliczane dodatkowe opłaty. Aby uzyskać więcej informacji, odwiedź stronę cennika usługi Azure Logic Apps .

Ważne

Usługa Microsoft Sentinel jest dostępna jako część ujednoliconej platformy operacji zabezpieczeń w portalu usługi Microsoft Defender. Usługa Microsoft Sentinel w portalu usługi Defender jest teraz obsługiwana do użytku produkcyjnego. Aby uzyskać więcej informacji, zobacz Microsoft Sentinel w portalu usługi Microsoft Defender.

W poniższej tabeli wymieniono ogólne przypadki użycia, w których zalecamy użycie podręczników usługi Microsoft Sentinel w celu zautomatyzowania reagowania na zagrożenia:

Przypadek użycia opis
Wzbogacenie Zbierz dane i dołącz je do zdarzenia, aby pomóc zespołowi w podejmowaniu mądrzejszych decyzji.
Synchronizacja dwukierunkowa Synchronizuj zdarzenia usługi Microsoft Sentinel z innymi systemami biletów. Na przykład utwórz regułę automatyzacji dla wszystkich tworzenia zdarzeń i dołącz podręcznik, który otwiera bilet w usłudze ServiceNow.
Aranżacja Użyj platformy czatu zespołu SOC, aby lepiej kontrolować kolejkę zdarzeń. Na przykład wyślij komunikat do kanału operacji zabezpieczeń w usłudze Microsoft Teams lub usłudze Slack, aby upewnić się, że analitycy zabezpieczeń wiedzą o zdarzeniu.
Response Natychmiastowe reagowanie na zagrożenia, przy minimalnych zależnościach człowieka, takich jak w przypadku wskazania naruszonego użytkownika lub maszyny. Alternatywnie ręcznie wyzwalaj serię zautomatyzowanych kroków podczas badania lub podczas wyszukiwania zagrożeń.

Aby uzyskać więcej informacji, zobacz Zalecane przypadki użycia podręcznika, szablony i przykłady.

Wymagania wstępne

Do tworzenia i uruchamiania podręczników w usłudze Microsoft Sentinel wymagane są następujące role.

Rola Opis
Właściciel Umożliwia udzielanie dostępu do podręczników w grupie zasobów.
Współautor aplikacji logiki Umożliwia zarządzanie aplikacjami logiki i uruchamianie podręczników. Nie zezwala na udzielanie dostępu do podręczników.
Operator aplikacji logiki Umożliwia odczytywanie, włączanie i wyłączanie aplikacji logiki. Nie umożliwia edytowania ani aktualizowania aplikacji logiki.
Współautor usługi Microsoft Sentinel Umożliwia dołączenie podręcznika do reguły analizy lub automatyzacji.
Osoba odpowiadająca w usłudze Microsoft Sentinel Umożliwia dostęp do zdarzenia w celu ręcznego uruchamiania podręcznika, ale nie umożliwia uruchamiania podręcznika.
Operator podręcznika usługi Microsoft Sentinel Umożliwia ręczne uruchamianie podręcznika.
Współautor automatyzacji usługi Microsoft Sentinel Umożliwia uruchamianie podręczników przez reguły automatyzacji. Ta rola nie jest używana w żadnym innym celu.

Karta Aktywne elementy playbook na stronie Automatyzacja zawiera wszystkie aktywne podręczniki dostępne we wszystkich wybranych subskrypcjach. Domyślnie podręcznik może być używany tylko w ramach subskrypcji, do której należy, chyba że w szczególności udzielasz uprawnień usługi Microsoft Sentinel grupie zasobów podręcznika.

Dodatkowe uprawnienia wymagane przez usługę Microsoft Sentinel do uruchamiania podręczników

Usługa Microsoft Sentinel używa konta usługi do uruchamiania podręczników dotyczących zdarzeń, dodawania zabezpieczeń i włączania interfejsu API reguł automatyzacji w celu obsługi przypadków użycia ciągłej integracji/ciągłego wdrażania. To konto usługi jest używane na potrzeby podręczników wyzwalanych przez zdarzenia lub ręcznego uruchamiania podręcznika w określonym zdarzeniu.

Oprócz własnych ról i uprawnień to konto usługi Microsoft Sentinel musi mieć własny zestaw uprawnień do grupy zasobów, w której znajduje się podręcznik, w postaci roli Współautor automatyzacji usługi Microsoft Sentinel. Gdy usługa Microsoft Sentinel ma tę rolę, może uruchomić dowolny podręcznik w odpowiedniej grupie zasobów, ręcznie lub z reguły automatyzacji.

Aby przyznać usłudze Microsoft Sentinel wymagane uprawnienia, musisz mieć rolę administratora dostępu właściciela lub użytkownika. Aby uruchomić podręczniki, musisz również mieć rolę Współautor aplikacji logiki w grupie zasobów zawierającej podręczniki, które chcesz uruchomić.

Szablony podręczników (wersja zapoznawcza)

Ważne

Szablony podręczników są obecnie dostępne w wersji zapoznawczej. Zobacz Dodatkowe warunki użytkowania dla wersji zapoznawczych platformy Microsoft Azure, aby uzyskać dodatkowe postanowienia prawne dotyczące funkcji platformy Azure, które są dostępne w wersji beta, wersji zapoznawczej lub w inny sposób nie zostały jeszcze wydane w wersji ogólnodostępnej.

Szablony podręczników są wstępnie utworzone, przetestowane i gotowe do użycia przepływy pracy, które nie są używane jako podręczniki, ale są gotowe do dostosowania do własnych potrzeb. Zalecamy również używanie szablonów podręczników jako odwołania do najlepszych rozwiązań podczas tworzenia podręczników od podstaw lub jako inspiracji dla nowych scenariuszy automatyzacji.

Uzyskaj dostęp do szablonów podręczników z następujących źródeł:

Lokalizacja opis
Strona automatyzacji usługi Microsoft Sentinel Karta Szablony podręczników zawiera listę wszystkich zainstalowanych podręczników. Utwórz co najmniej jeden aktywny podręcznik przy użyciu tego samego szablonu.

Po opublikowaniu nowej wersji szablonu wszystkie aktywne podręczniki utworzone na podstawie tego szablonu mają dodatkową etykietę dodaną na karcie Aktywne podręczniki , aby wskazać, że aktualizacja jest dostępna.
Strona centrum zawartości usługi Microsoft Sentinel Szablony podręczników są dostępne jako część rozwiązań produktów lub zawartości autonomicznej zainstalowanej z centrum zawartości.

Aby uzyskać więcej informacji, zobacz:
Informacje o zawartości i rozwiązaniach usługi Microsoft Sentinel
Odnajdywanie gotowej zawartości usługi Microsoft Sentinel i zarządzanie nią
GitHub Repozytorium GitHub usługi Microsoft Sentinel zawiera wiele innych szablonów podręczników. Wybierz pozycję Wdróż na platformie Azure , aby wdrożyć szablon w ramach subskrypcji platformy Azure.

Technicznie szablon podręcznika jest szablonem usługi Azure Resource Manager (ARM), który składa się z kilku zasobów: przepływu pracy usługi Azure Logic Apps i połączeń interfejsu API dla każdego zaangażowanego połączenia.

Aby uzyskać więcej informacji, zobacz:

Tworzenie podręcznika i przepływ pracy użycia

Użyj następującego przepływu pracy, aby utworzyć i uruchomić podręczniki usługi Microsoft Sentinel:

  1. Zdefiniuj scenariusz automatyzacji. Zalecamy przejrzenie zalecanych przypadków użycia podręczników i szablonów podręczników , aby rozpocząć.

  2. Jeśli nie używasz szablonu, utwórz podręcznik i skompiluj aplikację logiki. Aby uzyskać więcej informacji, zobacz Tworzenie podręczników usługi Microsoft Sentinel i zarządzanie nimi.

    Przetestuj aplikację logiki, uruchamiając ją ręcznie. Aby uzyskać więcej informacji, zobacz Ręczne uruchamianie podręcznika na żądanie.

  3. Skonfiguruj element playbook do automatycznego uruchamiania podczas tworzenia nowego alertu lub zdarzenia albo uruchom go ręcznie zgodnie z potrzebami dla procesów. Aby uzyskać więcej informacji, zobacz Reagowanie na zagrożenia za pomocą podręczników usługi Microsoft Sentinel.

Powiązana zawartość