Создание базовых правил автоматизации с помощью простых потоков на портале Microsoft Defender (предварительная версия)

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal

Простые потоки — это коллекция предварительно созданных действий автоматизации на портале Microsoft Defender. С помощью простых потоков можно создать рабочее правило автоматизации, выбрав триггер и добавив одно готовое действие: нет сборника схем, нет приложения логики. Используйте Simple Flows для отправки уведомлений по электронной почте, обновления полей дела, добавления задач расследования и обновления оповещений непосредственно в мастере правил автоматизации.

В этой статье объясняется, как простые потоки вписываются в обработчик правил автоматизации, описываются новые триггеры и действия, показывает, какие действия доступны для каждого триггера, а также рассматриваются комплексные примеры распространенных сценариев SOC.

Это важно

Simple Flows сейчас доступен в публичной предварительной версии. Дополнительные юридические условия, применимые к функциям Azure, которые находятся в бета-версии, предварительной версии или еще не выпущены в общедоступную версию, см. в Условиях использования предварительных версий Microsoft Azure.

Это важно

После 31 марта 2027 г. Microsoft Sentinel больше не будет поддерживаться в портале Azure и будет доступен только в портале Microsoft Defender. Все клиенты, использующие Microsoft Sentinel на портале Azure, будут перенаправлены на портал Defender и будут использовать Microsoft Sentinel только на портале Defender.

Если вы по-прежнему используете Microsoft Sentinel на портале Azure, рекомендуется приступить к планированию перехода на портал Defender для обеспечения плавного перехода и полного использования единого опыта операций безопасности, предоставляемого Microsoft Defender.

Что такое Simple Flows?

Правила автоматизации на портале Microsoft Defender соответствуют трехкомпонентной модели:

Триггер>Условия>Действие

Триггер — это событие, которое запускает правило (например, создается случай). Условия фильтрации событий, к которым применяется правило (например, только случаи высокой серьезности). Действия — это операции, выполняемые правилом при выполнении условий.

Simple Flows расширяет эту модель новыми триггерами и действиями, ориентированными на работу с инцидентами на портале Defender, а также действием обновления оповещений, которое работает с существующим триггером Создание оповещения. Каждое действие — это отдельный настраиваемый строительный блок. Вам не нужно писать код, создавать приложение логики или создавать сборник схем.

Simple Flows разработан для команд центра управления безопасностью (SOC), которым нужна быстрая и воспроизводимая автоматизация. К общим аудиториям относятся:

  • Аналитики SOC, которые хотят автоматизировать рутинную обработку инцидентов и оповещений, не выходя из мастера правил автоматизации.
  • Администраторы безопасности, определяющие политики автоматизации в SOC.
  • Инженеры безопасности , которые расширяют автоматизацию реагирования на инциденты в рамках более крупной стратегии оркестрации безопасности, автоматизации и реагирования (SOAR).

Полный обзор правил автоматизации см. в статье "Автоматизация реагирования на угрозы" в Microsoft Sentinel с правилами автоматизации.

Prerequisites

Прежде чем создавать правила автоматизации с помощью простых потоков, убедитесь, что у вас есть:

  • Доступ к случаям на портале Microsoft Defender. Simple Flows доступны для следующих пользователей:
  • Одна из следующих ролей или эквивалентная пользовательская роль с разрешением на управление правилами и вариантами автоматизации:
    • Участник Microsoft Sentinel (для создания и изменения правил автоматизации).
    • Оператор безопасности или администратор безопасности в Microsoft Defender XDR (для управления случаями и оповещениями).
  • Для действия «Обновить оповещение»: ваша учетная запись должна иметь разрешение на обновление оповещений в исходном продукте, а (для оповещений Microsoft Sentinel) соединители данных, создающие эти оповещения, должны быть включены.

Полное описание требований разрешений для правил автоматизации см. в статье "Автоматизация реагирования на угрозы" в Microsoft Sentinel с правилами автоматизации.

Новые триггеры

Simple Flows добавляет два новых триггера в модуль правил автоматизации. Уже существующий триггер Оповещение создано не является частью Simple Flows, но указан здесь, поскольку его использует новое действие Обновить оповещение.

Trigger Срабатывает, когда Доступный контекст Статус
Дело создано Новый случай создается вручную, автоматически из корреляции XDR, через API или другим правилом автоматизации. Идентификатор инцидента, название, уровень серьезности, статус, владелец, описание, теги, источник, время создания, а также любые настраиваемые поля инцидента, определенные в вашем арендаторе. Общедоступная предварительная версия
Обновлено дело Существующий случай изменяется: состояние, серьезность, владелец, теги, задачи или другие поля регистра. Идентификатор обращения, название, уровень серьезности (старый и новый), статус (старый и новый), владелец, теги, время обновления, а также любые пользовательские поля обращения, определенные в вашем тенанте. Общедоступная предварительная версия
Создано оповещение(существующее) Новое оповещение создается в Microsoft Sentinel или Microsoft Defender XDR. Идентификатор оповещения, Название, Уровень серьезности, Состояние, Поставщик, Тактики, Сущности. Общедоступно

Что нужно знать о поведении триггеров

  • Предотвращение циклов. Модуль устраняет дубликаты событий, чтобы одно и то же правило не срабатывало повторно для одного и того же случая в рамках одного цикла оценки. Это защищает вас от бесконечных циклов, когда обновление автоматизации повторно активирует правило, которое его создало.
  • Один выстрел на одно сохранение. Когда вы сохраняете сразу несколько изменений в обращении (например, одновременно изменяете уровень серьезности и владельца), триггер Case updated срабатывает один раз и проверяет все условия по итоговому состоянию, а не отдельно для каждого поля.
  • Старые и новые значения. Триггер «Дело обновлено» предоставляет доступ как к прежним, так и к новым значениям изменённых полей, поэтому можно задавать точные условия, например: «Критичность изменилась со средней на высокую.»
  • Приоритет правила. Если несколько правил соответствуют одному и тому же событию, они выполняются в порядке приоритета, настроенном на странице автоматизации .

Справочник по действиям

Simple Flows включает шесть действий в двух категориях: действия с кейсами (на базе Case Management) и действие оповещения (на базе Alerts API). Все действия выполняются с помощью платформы унифицированных действий, которая направляет каждое действие в правильную нижестояющую службу.

Действие Совместимые триггеры Настраиваемые поля Поведение и ограничения
Отправить электронное письмо о создании обращения Дело создано Адреса электронной почты получателя (один или несколько). Отправляет уведомление по электронной почте при создании нового дела. Использует стандартный шаблон электронного письма под управлением Microsoft с данными об обращении (идентификатор обращения, название, уровень серьезности, статус, ответственный и ссылка на обращение). Отправитель Microsoft Security.
Отправка обновленного сообщения электронной почты Обращение обновлено Адреса электронной почты получателя. Отправляет уведомление по электронной почте при обновлении дела. Использует фиксированный шаблон, включающий контекст случая и старые и новые значения изменённых полей. Срабатывает один раз при каждом сохранении.
Обновить обращение Создание регистра, обновление регистра Стандартные поля: имя, описание, назначение, приоритет, состояние, дата выполнения, закрывающие заметки, получатели электронной почты, льготный период. Плюс любые настраиваемые поля, определенные в клиенте. Изменяет одно или несколько полей обращения за одно действие. Задайте только поля, которые нужно изменить; другие поля остаются неизменными. Изменения нескольких полей в одном действии Обновить дело считаются одним сохранением и приводят к одному событию Дело обновлено в последующей обработке.
Добавление задачи Создание регистра, обновление регистра Для каждой задачи: имя (обязательно), состояние, приоритет, назначение, дата выполнения, описание, закрытие заметок. Добавляет одну или несколько задач исследования в дело в указанном порядке. Ограничение: до 10 задач на правило. Действие не удаляет дубликаты, поэтому повторные запуски правила приводят к повторному добавлению задач. Используйте условия Обращение обновлено, чтобы избежать нежелательного повторного срабатывания.
Уведомление об обновлении Создано оповещение Состояние, Классификация, Определение, Ответственный. Изменяет поля в оповещении Microsoft Sentinel или Microsoft Defender XDR. Выполняется через API оповещений и немедленно отражается на оповещении. Полезно для автоматической сортировки большого количества оповещений с низкой степенью достоверности.

Note

Для трех действий с электронной почтой в этом выпуске действуют следующие ограничения: используется фиксированный шаблон, управляемый Microsoft (без возможности настройки), отправителем всегда является Microsoft Security, получатели копии (CC) и скрытой копии (BCC) не поддерживаются, а выполнения отправки электронной почты не записываются в журнал аудита дела, поэтому на временной шкале дела нельзя проверить, было ли отправлено уведомление.

Совместимость триггеров и действий

Не все действия работают с каждым триггером. В приведенной ниже матрице показаны поддерживаемые сочетания в этом выпуске.

Действие Дело создано Обращение обновлено Создано оповещение
Отправить письмо о создании обращения ✅
Отправить электронное письмо об обновлении обращения ✅
Обновить обращение ✅ ✅
Добавление задачи ✅ ✅
Обновление оповещений ✅

Пошаговые руководства от начала до конца

В следующих примерах показано, как объединить триггеры, условия и действия простых потоков для предоставления общих рабочих процессов SOC.

Пример 1: Автоматическая сортировка оповещений с низкой достоверностью путём классификации

Автоматическое разрешение информационных оповещений от конкретного поставщика как доброкачественных положительных результатов, поэтому очередь остается сосредоточенной на реальных угрозах.

  1. На портале Microsoft Defender перейдите к Microsoft Sentinel>Automation и выберите +Создать>правило автоматизации.
  2. В разделе "Триггер" выберите "Когда создается оповещение".
  3. В разделе "Условия" добавьте:
    • ПоставщикравноMicrosoft Defender для конечной точки
    • Уровень серьезностиравенинформационный
  4. В разделе "Действия" добавьте оповещение об обновлении с помощью:
    • Классификация: Положительный, доброкачественный
    • Состояние: разрешено
  5. Сохраните правило.

Пример 2. Повышение уровня задач при переходе к расследованию

Добавьте контрольный список, соответствующий этапу, когда аналитик начинает исследовать.

  1. В Microsoft Sentinel>Automation создайте новое правило автоматизации.
  2. В разделе "Триггер" выберите "При обновлении дела".
  3. В разделе «Условия» добавьте: Статусизменен наРасследование.
  4. В разделе "Действия"добавьте задачу с задачами, которые нужно выполнить аналитику на этапе исследования.
  5. Сохраните правило.

Совет

Объедините прежние и новые значения триггера обновления обращения с приоритетом правил, чтобы применять правила послойно без конфликтов. Универсальное правило, которое выполняется для каждого случая, можно сочетать с правилом более высокого приоритета, которое добавляет дополнительные действия только если уровень серьезности повышается до высокого или критического.

Связанные материалы

  • Последнее обновление: