Automatisera och köra Microsoft Sentinel-spelböcker

• Gäller för:

  Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Spelböcker är samlingar av procedurer som kan köras från Microsoft Sentinel som svar på en hel incident, till en enskild avisering eller till en specifik entitet. En spelbok kan hjälpa dig att automatisera och samordna ditt svar och kan ställas in att köras automatiskt när specifika aviseringar genereras eller när incidenter skapas eller uppdateras genom att kopplas till en automatiseringsregel. Det kan också köras manuellt på begäran på specifika incidenter, aviseringar eller entiteter.

Den här artikeln beskriver hur du kopplar spelböcker till analysregler eller automatiseringsregler, eller kör spelböcker manuellt på specifika incidenter, aviseringar eller entiteter.

Kommentar

Spelböcker i Microsoft Sentinel baseras på arbetsflöden som skapats i Azure Logic Apps, vilket innebär att du får all kraft, anpassningsbarhet och inbyggda mallar för Logic Apps. Ytterligare avgifter kan tillkomma. Mer information finns på prissättningssidan för Azure Logic Apps .

Viktigt!

Microsoft Sentinel är tillgängligt som en del av den enhetliga säkerhetsåtgärdsplattformen i Microsoft Defender-portalen. Microsoft Sentinel i Defender-portalen stöds nu för produktionsanvändning. Mer information finns i Microsoft Sentinel i Microsoft Defender-portalen.

Förutsättningar

Innan du börjar kontrollerar du att du har en spelbok tillgänglig för att automatisera eller köra, med en utlösare, villkor och åtgärder definierade. Mer information finns i Skapa och hantera Microsoft Sentinel-spelböcker.

Nödvändiga Azure-roller för att köra spelböcker

Om du vill köra spelböcker behöver du följande Azure-roller:

Roll	beskrivning
Ägare	Gör att du kan ge åtkomst till spelböcker i resursgruppen.
Microsoft Sentinel-deltagare	Koppla en spelbok till en analysregel eller automatiseringsregel
Microsoft Sentinel-svarare	Få åtkomst till en incident för att kunna köra en spelbok manuellt. För att kunna köra spelboken behöver du även följande roller: - Microsoft Sentinel-spelboksoperatör för att köra en spelbok manuellt - Rollen Microsoft Sentinel Automation-deltagare för att tillåta automatiseringsregler att köra spelböcker.

Mer information finns i förutsättningar för spelböcker.

Extra behörigheter som krävs för att köra spelböcker på incidenter

Microsoft Sentinel använder ett tjänstkonto för att köra spelböcker på incidenter, för att lägga till säkerhet och göra det möjligt för API:et för automatiseringsregler att stödja CI/CD-användningsfall. Det här tjänstkontot används för incidentutlösta spelböcker eller när du kör en spelbok manuellt vid en specifik incident.

Förutom dina egna roller och behörigheter måste det här Microsoft Sentinel-tjänstkontot ha en egen uppsättning behörigheter för resursgruppen där spelboken finns, i form av rollen Microsoft Sentinel Automation-deltagare . När Microsoft Sentinel har den här rollen kan den köra valfri spelbok i relevant resursgrupp, manuellt eller från en automatiseringsregel.

Om du vill bevilja Microsoft Sentinel de behörigheter som krävs måste du ha rollen Ägare eller Administratör för användaråtkomst. Om du vill köra spelböckerna behöver du även rollen Logic App-deltagare i resursgruppen som innehåller de spelböcker som du vill köra.

Konfigurera spelboksbehörigheter för incidenter i en distribution med flera klientorganisationer

Om spelboken som du vill köra finns i en annan klientorganisation i en distribution med flera klienter måste du ge Microsoft Sentinel-tjänstkontot behörighet att köra spelboken i spelbokens klientorganisation.

1. Välj Inställningar i microsoft Sentinel-navigeringsmenyn i spelböckernas klientorganisation.

2. På sidan Inställningar väljer du fliken Inställningar och sedan expanderaren Spelboksbehörigheter.

3. Välj knappen Konfigurera behörigheter för att öppna panelen Hantera behörigheter.

4. Markera kryssrutorna för de resursgrupper som innehåller de spelböcker som du vill köra och välj Använd. Till exempel:

   

Du måste själv ha ägarbehörigheter för alla resursgrupper som du vill bevilja Microsoft Sentinel-behörigheter till, och du måste ha rollen Microsoft Sentinel-spelboksoperatör för alla resursgrupper som innehåller spelböcker som du vill köra.

Om du i ett MSSP-scenario vill köra en spelbok i en kundklientorganisation från en automatiseringsregel som skapats när du är inloggad i tjänstleverantörens klientorganisation, måste du ge Microsoft Sentinel behörighet att köra spelboken i båda klientorganisationer:

• I kundklientorganisationen följer du standardanvisningarna för multitenantdistributionen.

• Lägg till Azure Security Insights-appen i din Azure Lighthouse-registreringsmall på följande sätt i tjänstleverantörens klientorganisation:

  1. Från Azure-portalen går du till Microsoft Entra-ID och väljer Företagsprogram.
  2. Välj Programtyp och filtrera på Microsoft-program.
  3. I sökrutan anger du Azure Security Insights.
  4. Kopiera fältet Objekt-ID . Du måste lägga till den här extra auktoriseringen i din befintliga Azure Lighthouse-delegering.

Rollen Microsoft Sentinel Automation-deltagare har ett fast GUID för f4c81013-99ee-4d62-a7ee-b3f1f648599a. Ett exempel på Azure Lighthouse-auktorisering skulle se ut så här i parametermallen:

{
"principalId": "<Enter the Azure Security Insights app Object ID>", 
"roleDefinitionId": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
"principalIdDisplayName": "Microsoft Sentinel Automation Contributors" 
}

Automatisera svar på incidenter och aviseringar

Om du vill svara automatiskt på hela incidenter eller enskilda aviseringar med en spelbok skapar du en automatiseringsregel som körs när incidenten skapas eller uppdateras eller när aviseringen genereras. Den här automatiseringsregeln innehåller ett steg som anropar den spelbok som du vill använda.

Så här skapar du en automatiseringsregel:

1. På sidan Automation i Microsoft Sentinel-navigeringsmenyn väljer du Skapa på den översta menyn och sedan Automation-regeln. Till exempel:

   

2. Panelen Skapa ny automatiseringsregel öppnas. Ange ett namn på regeln. Alternativen varierar beroende på om arbetsytan är registrerad på den enhetliga säkerhetsåtgärdsplattformen. Till exempel:

   Registrerade arbetsytor

   

   Arbetsytor som inte är registrerade

   

3. Utlösare: Välj lämplig utlösare enligt den omständighet för vilken du skapar automatiseringsregeln – När incidenten skapas, När incidenten uppdateras eller När aviseringen skapas.

4. Villkor:

   1. Om din arbetsyta ännu inte har registrerats på den enhetliga säkerhetsåtgärdsplattformen kan incidenter ha två möjliga källor:

      • Incidenter kan skapas i Microsoft Sentinel
      • Incidenter kan importeras från – och synkroniseras med – Microsoft Defender XDR.

      Om du valde en av incidentutlösarna och vill att automatiseringsregeln endast ska gälla för incidenter som kommer från Microsoft Sentinel, eller alternativt i Microsoft Defender XDR, anger du källan i om incidentprovidern är lika med villkoret.

      Det här villkoret visas endast om en incidentutlösare har valts och din arbetsyta inte registreras på den enhetliga plattformen för säkerhetsåtgärder.

   2. Om du vill att automationsregeln endast ska gälla för vissa analysregler för alla utlösartyper anger du vilka genom att ändra if analytics-regelnamnet innehåller villkoret.

   3. Lägg till andra villkor som du vill avgöra om den här automatiseringsregeln körs. Välj + Lägg till och välj villkorsgrupper i listrutan. Listan över villkor fylls i med aviseringsinformations- och entitetsidentifierarfält.

5. Åtgärder:

   1. Eftersom du använder den här automatiseringsregeln för att köra en spelbok väljer du åtgärden Kör spelbok i listrutan. Sedan uppmanas du att välja från en andra listruta som visar tillgängliga spelböcker. En automatiseringsregel kan bara köra de spelböcker som börjar med samma utlösare (incident eller avisering) som utlösaren som definieras i regeln, så endast dessa spelböcker visas i listan.

      Om en spelbok visas nedtonad i listrutan innebär det att Microsoft Sentinel inte har behörighet till spelbokens resursgrupp. Välj länken Hantera spelboksbehörigheter om du vill tilldela behörigheter.

      I panelen Hantera behörigheter som öppnas markerar du kryssrutorna för de resursgrupper som innehåller de spelböcker som du vill köra och väljer Tillämpa. Till exempel:

      

      Du måste själv ha ägarbehörigheter för alla resursgrupper som du vill bevilja Microsoft Sentinel-behörigheter till, och du måste ha rollen Microsoft Sentinel-spelboksoperatör för alla resursgrupper som innehåller spelböcker som du vill köra.

      Mer information finns i Extra behörigheter som krävs för att köra spelböcker på incidenter.

   2. Lägg till andra åtgärder som du vill ha för den här regeln. Du kan ändra ordningen på körningen av åtgärder genom att välja uppåt- eller nedåtpilarna till höger om en åtgärd.

6. Ange ett förfallodatum för automatiseringsregeln om du vill att den ska ha ett.

7. Ange ett tal under Order för att avgöra var i sekvensen av automatiseringsregler den här regeln körs.

8. Välj Använd för att slutföra automatiseringen.

Mer information finns i Skapa och hantera Microsoft Sentinel-spelböcker.

Svara på aviseringar – äldre metod

Ett annat sätt att köra spelböcker automatiskt som svar på aviseringar är att anropa dem från en analysregel. När regeln genererar en avisering körs spelboken.

Den här metoden kommer att vara inaktuell från och med mars 2026.

Från och med juni 2023 kan du inte längre lägga till spelböcker i analysregler på det här sättet. Du kan dock fortfarande se de befintliga spelböckerna som anropas från analysregler, och dessa spelböcker körs fortfarande fram till mars 2026. Vi rekommenderar starkt att du skapar automatiseringsregler för att anropa dessa spelböcker i stället innan dess.

Kör en spelbok manuellt på begäran

Du kan också köra en spelbok manuellt på begäran, oavsett om det är som svar på aviseringar, incidenter eller entiteter. Detta kan vara användbart i situationer där du vill ha mer mänsklig indata till och kontroll över orkestrerings- och svarsprocesser.

Köra en spelbok manuellt i en avisering

Den här proceduren stöds inte i den enhetliga säkerhetsåtgärdsplattformen.

I Azure-portalen väljer du någon av följande flikar efter behov för din miljö:

Incidentinformation

1. På sidan Incidenter väljer du en incident och väljer sedan Visa fullständig information för att öppna sidan incidentinformation.

2. På sidan incidentinformation går du till widgeten Incidenttidslinje och väljer den avisering som du vill köra spelboken på. Välj de tre punkterna i slutet av aviseringens rad och välj Kör spelbok på popup-menyn.

   

3. Fönstret Aviseringsspelböcker öppnas. Du ser en lista över alla spelböcker som konfigurerats med utlösaren för Aviseringslogikappar för Microsoft Sentinel som du har åtkomst till.

4. Välj Kör på raden i en specifik spelbok för att köra den omedelbart.

Undersökningsdiagram

1. På sidan Incidenter väljer du en incident och väljer sedan Visa fullständig information för att öppna sidan incidentinformation.

2. På sidan incidentinformation väljer du fliken Aviseringar , väljer den avisering som du vill köra spelboken på och väljer länken Visa spelböcker i slutet av raden i aviseringen.

3. Fönstret Aviseringsspelböcker öppnas. Du ser en lista över alla spelböcker som konfigurerats med utlösaren för Aviseringslogikappar för Microsoft Sentinel som du har åtkomst till.

4. Välj Kör på raden i en specifik spelbok för att köra den omedelbart.

Du kan se körningshistoriken för spelböcker i en avisering genom att välja fliken Körningar i fönstret Aviseringsspelböcker . Det kan ta några sekunder innan en precis slutförd körning visas i listan. Om du väljer en specifik körning öppnas den fullständiga körningsloggen i Logic Apps.

Köra en spelbok manuellt vid en incident

Den här proceduren skiljer sig åt beroende på om du arbetar i Microsoft Sentinel eller på den enhetliga säkerhetsåtgärdsplattformen. Välj relevant flik för din miljö:

Azure-portalen

1. På sidan Incidenter väljer du en incident.

2. I fönstret incidentinformation som visas på sidan väljer du Åtgärder > Kör spelbok.

   Om du väljer de tre punkterna i slutet av incidentens rad i rutnätet eller högerklickar på incidenten visas samma lista som knappen Åtgärd .

3. Spelboken Kör på incidentpanelen öppnas på sidan. Du ser en lista över alla spelböcker som konfigurerats med den Microsoft Sentinel Incident Logic Apps-utlösare som du har åtkomst till.

   Om du inte ser den spelbok som du vill köra i listan innebär det att Microsoft Sentinel inte har behörighet att köra spelböcker i den resursgruppen.

   Om du vill bevilja dessa behörigheter väljer du Inställningar Inställningar>>Spelboksbehörigheter>Konfigurera behörigheter. I panelen Hantera behörigheter som öppnas markerar du kryssrutorna för de resursgrupper som innehåller de spelböcker som du vill köra och väljer Tillämpa.

   Mer information finns i Extra behörigheter som krävs för att köra spelböcker på incidenter.

4. Välj Kör på raden i en specifik spelbok för att köra den omedelbart.

   Du måste ha rollen som Microsoft Sentinel-spelboksoperator för alla resursgrupper som innehåller spelböcker som du vill köra. Om du inte kan köra spelboken på grund av saknade behörigheter rekommenderar vi att du kontaktar en administratör för att ge dig relevanta behörigheter. Mer information finns i Krav för Microsoft Sentinel-spelböcker.

Microsoft Defender-portalen

1. På sidan Incidenter väljer du en incident.

2. I fönstret incidentinformation som visas på sidan väljer du Kör spelbok.

3. Spelboken Kör på incidentpanelen öppnas på sidan med alla relaterade spelböcker för den valda incidenten. I kolumnen Åtgärd väljer du Kör spelbok för den spelbok som du vill köra direkt.

Kolumnen Åtgärder kan också visa någon av följande statusar:

Status	Beskrivning och åtgärd krävs
Behörigheter saknas	Du måste ha rollen Microsoft Sentinel-spelboksoperatör för alla resursgrupper som innehåller spelböcker som du vill köra. Om du saknar behörigheter rekommenderar vi att du kontaktar en administratör för att ge dig relevanta behörigheter. Mer information finns i Krav för Microsoft Sentinel-spelböcker.
Bevilja behörighet	Microsoft Sentinel saknar rollen Microsoft Sentinel Automation-deltagare , som krävs för att köra spelböcker på incidenter. I sådana fall väljer du Bevilja behörighet för att öppna fönstret Hantera behörigheter . Fönstret Hantera behörigheter filtreras som standard till den valda spelbokens resursgrupp. Välj resursgruppen och välj sedan Använd för att bevilja de behörigheter som krävs. Du måste vara ägare eller administratör för användaråtkomst i den resursgrupp som du vill bevilja Microsoft Sentinel-behörigheter till. Om du saknar behörigheter är resursgruppen nedtonad och du kan inte välja den. I sådana fall rekommenderar vi att du kontaktar en administratör för att ge dig relevanta behörigheter. Mer information finns i Extra behörigheter som krävs för att köra spelböcker på incidenter.

Visa körningshistoriken för spelböcker för en incident genom att välja fliken Körningar i spelboken Kör på incidentpanelen . Det kan ta några sekunder innan en precis slutförd körning visas i listan. Om du väljer en specifik körning öppnas den fullständiga körningsloggen i Logic Apps.

Köra en spelbok manuellt på en entitet

Den här proceduren stöds inte i den enhetliga säkerhetsåtgärdsplattformen.

Välj en entitet på något av följande sätt, beroende på din ursprungliga kontext:

Sidan Incidentinformation (ny)

Om du är på informationssidan för en incident (ny version):

Leta upp entiteten i widgeten Entiteter på fliken Översikt och gör något av följande:

• Välj inte entiteten. Välj i stället de tre punkterna till höger om entiteten och välj sedan Kör spelbok. Leta upp den spelbok som du vill köra och välj Kör på spelbokens rad.

• Välj entiteten för att öppna fliken Entiteter på sidan med incidentinformation. Leta upp entiteten i listan och välj de tre punkterna till höger. Leta upp den spelbok som du vill köra och välj Kör på spelbokens rad.

• Välj en entitet och öka detaljnivån till sidan med entitetsinformation. Välj sedan knappen Kör spelbok i den vänstra panelen. Leta upp den spelbok som du vill köra och välj Kör på spelbokens rad.

Sidan Incidentinformation (äldre)

Om du är på informationssidan för en incident (äldre version):

1. Välj fliken Entiteter för incidenten och leta upp din entitet i listan.

2. Gör något av följande:

   • Välj länken Kör spelbok i slutet av entitetsraden i listan.
   • Välj entiteten för att öka detaljnivån till sidan med entitetsinformation och välj knappen Kör spelbok i den vänstra panelen.

3. Leta upp den spelbok som du vill köra och välj Kör på spelbokens rad.

Undersökningsdiagram

Om du är i undersökningsdiagrammet:

1. Välj en entitet i diagrammet och välj sedan knappen Kör spelbok på entitetspanelen.

   För vissa entitetstyper kan du behöva välja knappen Entitetsåtgärder och välja Kör spelbok på den resulterande menyn.

2. Leta upp den spelbok som du vill köra och välj Kör på spelbokens rad.

Proaktiv jakt

Om du proaktivt jagar efter hot:

1. På skärmen Entitetsbeteende väljer du en entitet från listorna på sidan eller söker efter och väljer en annan entitet.
2. På entitetssidan väljer du knappen Kör spelbok i den vänstra panelen.
3. Leta upp den spelbok som du vill köra och välj Kör på spelbokens rad.

Oavsett vilken kontext du kom från kommer det sista steget i den här proceduren från spelboken Run on entity type (Kör spelbok på <entitetstyppanelen> ). Den här panelen visar en lista över alla spelböcker som du har åtkomst till som har konfigurerats med Utlösaren för Microsoft Sentinel Entity Logic Apps för den valda entitetstypen.

I fönstret *Kör spelbok på <entitetstyp> väljer du fliken Körningar för att se spelbokskörningshistoriken för en viss entitet. Det kan ta några sekunder innan en precis slutförd körning visas i listan. Om du väljer en specifik körning öppnas den fullständiga körningsloggen i Logic Apps.

Relaterat innehåll

Mer information finns i:

• Skapa och hantera Microsoft Sentinel-spelböcker
• Automatisera hotsvar i Microsoft Sentinel med automatiseringsregler