Samouczek: wyodrębnianie jednostek zdarzeń przy użyciu akcji innych niż natywne
Mapowanie jednostek wzbogaca alerty i zdarzenia o informacje niezbędne dla wszelkich procesów śledczych i działań naprawczych, które następują.
Podręczniki usługi Microsoft Sentinel obejmują następujące akcje natywne w celu wyodrębnienia informacji o jednostce:
- Klienci
- DNS
- Skróty plików
- Hosts
- Ips
- Adresy URL
Oprócz tych akcji mapowanie jednostki reguły analitycznej zawiera typy jednostek, które nie są akcjami natywnymi, takimi jak złośliwe oprogramowanie, proces, klucz rejestru, skrzynka pocztowa i inne. Z tego samouczka dowiesz się, jak pracować z akcjami nienatywnych przy użyciu różnych wbudowanych akcji w celu wyodrębnienia odpowiednich wartości.
Z tego samouczka dowiesz się, jak wykonywać następujące czynności:
- Utwórz podręcznik z wyzwalaczem zdarzenia i uruchom go ręcznie w zdarzeniu.
- Zainicjuj zmienną tablicową.
- Filtruj wymagany typ jednostki z innych typów jednostek.
- Przeanalizuj wyniki w pliku JSON.
- Utwórz wartości jako zawartość dynamiczną do użycia w przyszłości.
Ważne
Usługa Microsoft Sentinel jest teraz ogólnie dostępna na platformie Ujednolicone operacje zabezpieczeń firmy Microsoft w portalu usługi Microsoft Defender. Aby uzyskać więcej informacji, zobacz Microsoft Sentinel w portalu usługi Microsoft Defender.
Wymagania wstępne
Aby ukończyć kroki tego samouczka, upewnij się, że dysponujesz następującymi elementami:
Subskrypcja Azure. Utwórz bezpłatne konto, jeśli jeszcze go nie masz.
Użytkownik platformy Azure z następującymi rolami przypisanymi do następujących zasobów:
- Współautor usługi Microsoft Sentinel w obszarze roboczym usługi Log Analytics, w którym wdrożono usługę Microsoft Sentinel.
- Współautor aplikacji logiki i właściciel lub odpowiednik, w zależności od grupy zasobów będzie zawierać podręcznik utworzony w tym samouczku.
Na potrzeby tego samouczka wystarczy (bezpłatne) konto VirusTotal. Implementacja produkcyjna wymaga konta VirusTotal Premium.
Tworzenie podręcznika z wyzwalaczem zdarzenia
W przypadku usługi Microsoft Sentinel w witrynie Azure Portal wybierz stronę Automatyzacja konfiguracji>. W przypadku usługi Microsoft Sentinel w portalu usługi Defender wybierz pozycję Microsoft Sentinel>Configuration>Automation.
Na stronie Automatyzacja wybierz pozycję Utwórz>podręcznik z wyzwalaczem zdarzenia.
W kreatorze Tworzenie podręcznika w obszarze Podstawy wybierz subskrypcję i grupę zasobów i nadaj podręcznikowi nazwę.
Wybierz pozycję Dalej: połączenia >.
W obszarze Połączenia powinna być widoczna opcja Microsoft Sentinel — nawiązywanie połączenia z tożsamością zarządzaną. Na przykład:
Wybierz pozycję Dalej: Przejrzyj i utwórz plik >.
W obszarze Przeglądanie i tworzenie wybierz pozycję Utwórz i przejdź do projektanta.
Projektant aplikacji logiki otwiera aplikację logiki o nazwie podręcznika.
Inicjowanie zmiennej tablicy
W projektancie aplikacji logiki w kroku, w którym chcesz dodać zmienną, wybierz pozycję Nowy krok.
W obszarze Wybierz operację w polu wyszukiwania wpisz zmienne jako filtr. Z listy akcji wybierz pozycję Inicjuj zmienną.
Podaj te informacje o zmiennej:
W polu nazwa zmiennej użyj wartości Entities (Jednostki).
Dla typu wybierz pozycję Tablica.
Dla wartości rozpocznij wpisywanie jednostek i wybierz pozycję Jednostki w obszarze Zawartość dynamiczna.
Wybierz istniejące zdarzenie
W usłudze Microsoft Sentinel przejdź do obszaru Incydenty i wybierz zdarzenie, na którym chcesz uruchomić podręcznik.
Na stronie zdarzenia po prawej stronie wybierz pozycję Akcje > Uruchom element playbook (wersja zapoznawcza).
W obszarze Podręczniki obok utworzonego podręcznika wybierz pozycję Uruchom.
Po wyzwoleniu podręcznika zostanie wyzwolony komunikat o pomyślnym wyzwoleniu elementu playbook w prawym górnym rogu.
Wybierz pozycję Uruchomienia, a następnie obok podręcznika wybierz pozycję Wyświetl przebieg.
Strona uruchamiania aplikacji logiki jest widoczna.
W obszarze Zainicjuj zmienną przykładowy ładunek jest widoczny w obszarze Wartość. Zanotuj przykładowy ładunek do późniejszego użycia.
Filtrowanie wymaganego typu jednostki z innych typów jednostek
Wróć do strony Automatyzacja i wybierz podręcznik.
W kroku, w którym chcesz dodać zmienną, wybierz pozycję Nowy krok.
W obszarze Wybierz akcję w polu wyszukiwania wprowadź tablicę filtru jako filtr. Z listy akcji wybierz pozycję Operacje na danych.
Podaj te informacje o tablicy filtrów:
W obszarze Z>zawartości dynamicznej wybierz wcześniej zainicjowaną zmienną Jednostki.
Wybierz pierwsze pole Wybierz wartość (po lewej stronie), a następnie wybierz pozycję Wyrażenie.
Wklej element wartości ()?[" kind'], a następnie wybierz przycisk OK.
Pozostaw wartość jest równa wartości (nie należy jej modyfikować).
W drugim polu Wybierz wartość (po prawej stronie) wpisz Proces. Musi to być dokładne dopasowanie do wartości w systemie.
Uwaga
W tym zapytaniu jest uwzględniana wielkość liter. Upewnij się, że wartość jest zgodna
kind
z wartością w przykładowym ładunku. Zobacz przykładowy ładunek podczas tworzenia podręcznika.
Analizowanie wyników do pliku JSON
W aplikacji logiki w kroku, w którym chcesz dodać zmienną, wybierz pozycję Nowy krok.
Wybierz pozycję Operacje>danych Przeanalizuj dane w formacie JSON.
Podaj te informacje dotyczące operacji:
Wybierz pozycję Zawartość, a następnie w obszarze Tablica filtru zawartości>dynamicznej wybierz pozycję Treść.
W obszarze Schemat wklej schemat JSON, aby można było wyodrębnić wartości z tablicy. Skopiuj przykładowy ładunek wygenerowany podczas tworzenia podręcznika.
Wróć do podręcznika i wybierz pozycję Użyj przykładowego ładunku, aby wygenerować schemat.
Wklej ładunek. Dodaj otwierający nawias kwadratowy (
[
) na początku schematu i zamknij go na końcu schematu]
.Wybierz pozycję Gotowe.
Użyj nowych wartości jako zawartości dynamicznej do użycia w przyszłości
Teraz możesz użyć wartości utworzonych jako zawartość dynamiczna w celu wykonania dalszych akcji. Jeśli na przykład chcesz wysłać wiadomość e-mail z danymi przetwarzania, możesz znaleźć akcję Przeanalizuj kod JSON w obszarze Zawartość dynamiczna, jeśli nazwa akcji nie została zmieniona.
Upewnij się, że podręcznik został zapisany
Upewnij się, że podręcznik został zapisany i możesz teraz używać podręcznika na potrzeby operacji SOC.
Następne kroki
Przejdź do następnego artykułu, aby dowiedzieć się, jak tworzyć i wykonywać zadania zdarzeń w usłudze Microsoft Sentinel przy użyciu podręczników.