Microsoft Defender portalında Basit Akışlar ile temel otomasyon kuralları oluşturma (önizleme)

  • Şunlara uygulanır: Microsoft Sentinel in the Microsoft Defender portal

Basit Akışlar, Microsoft Defender portalında önceden oluşturulmuş otomasyon eylemlerinden oluşan bir koleksiyondur. Basit Akışlar ile bir tetikleyici seçip tek bir hazır eylem ekleyerek işlevsel bir otomasyon kuralı oluşturabilirsiniz: playbook yok, Logic App yok. E-posta bildirimleri göndermek, olay alanlarını güncellemek, araştırma görevleri eklemek ve uyarıları doğrudan otomasyon kuralı sihirbazından güncellemek için Simple Flows'u kullanın.

Bu makalede Basit Akışlar'ın otomasyon kuralları altyapısına nasıl uyum sağlandığı, yeni tetikleyiciler ve eylemler açıklanır, her tetikleyici için hangi eylemlerin kullanılabilir olduğu gösterilir ve yaygın SOC senaryoları için uçtan uca örnekler açıklanmaktadır.

Önemli

Basit Akışlar şu anda genel önizleme aşamasındadır. Beta, önizleme veya başka bir şekilde genel kullanıma sunulmamış Azure özellikler için geçerli olan ek yasal koşullar için bkz. Microsoft Azure Önizlemeleri için Uygun Kullanım Koşulları.

Önemli

31 Mart 2027'nin ardından Microsoft Sentinel artık Azure portalında desteklenmeyecektir ve yalnızca Microsoft Defender portalında kullanılabilir olacaktır. Azure portalında Microsoft Sentinel kullanan tüm müşteriler Defender portalına yönlendirilir ve yalnızca Defender portalında Microsoft Sentinel'i kullanır.

Azure portalında hala Microsoft Sentinel kullanıyorsanız, sorunsuz bir geçiş sağlamak ve Microsoft Defender tarafından sunulan birleşik güvenlik operasyonları deneyiminden tam olarak yararlanmak için Defender portalına geçişinizi planlamaya başlamanızı öneririz.

Basit Akışlar nedir?

Microsoft Defender portalındaki otomasyon kuralları üç bölümden oluşturulmuş bir modeli izler:

Tetikleyici>Koşul -ları>Eylem

Tetikleyici, kuralı başlatan olaydır (örneğin, bir vaka oluşturulur). Koşullar, kuralın hangi olaylara uygulanacağını filtreler (örneğin, yalnızca yüksek önem derecesine sahip durumlar). Eylemler, koşullar karşılandığında kuralın gerçekleştirdiği işlemlerdir.

Basit Akışlar, bu modeli Defender portalındaki olay deneyimini hedefleyen yeni tetikleyiciler ve eylemlerle ve mevcut Uyarı oluşturuldu tetikleyicisiyle çalışan bir uyarı güncelleştirme eylemiyle genişletir. Her eylem, yapılandırılabilir tek bir yapı taşıdır. Kod yazmanız, Mantıksal Uygulama oluşturmanız veya playbook oluşturmanız gerekmez.

Basit Akışlar, hızlı ve tekrarlanabilir otomasyona ihtiyaç duyan güvenlik operasyonları merkezi (SOC) ekipleri için tasarlanmıştır. Yaygın hedef kitleler şunlardır:

  • Otomasyon kuralları sihirbazından çıkmadan rutin vaka ve uyarıların işlenmesini otomatikleştirmek isteyen SOC analistleri
  • SOC genelinde otomasyon ilkeleri tanımlayan güvenlik yöneticileri.
  • Daha büyük bir güvenlik düzenleme, otomasyon ve yanıt (SOAR) stratejisi kapsamında olay yanıtı otomasyonunun kapsamını genişleten güvenlik mühendisleri.

Otomasyon kurallarına tam genel bakış için bkz. Otomasyon kurallarıyla Microsoft Sentinel tehdit yanıtını otomatikleştirme.

Prerequisites

Basit Akışlar ile otomasyon kuralları oluşturmadan önce aşağıdakilere sahip olduğunuzdan emin olun:

  • Microsoft Defender portalındaki vakalara erişim. Simple Flows şu kişiler için kullanılabilir:
  • Aşağıdaki rollerden biri veya otomasyon kurallarını ve servis taleplerini yönetme iznine sahip eşdeğer bir özel rol:
    • Microsoft Sentinel Katılımcısı (otomasyon kuralları oluşturmak ve düzenlemek için).
    • Microsoft Defender XDR'de Güvenlik operatörü veya Güvenlik Yöneticisi (servis taleplerini ve uyarıları yönetmek için).
  • Uyarıyı Güncelleştir eylemi için: Hesabınızın kaynak üründeki uyarıları güncelleştirme iznine sahip olması ve (Microsoft Sentinel uyarılar için) uyarıları oluşturan veri bağlayıcılarının etkinleştirilmesi gerekir.

Otomasyon kuralları için izin gereksinimlerinin tam açıklaması için bkz. Otomasyon kurallarıyla Microsoft Sentinel tehdit yanıtını otomatikleştirme.

Yeni tetikleyiciler

Basit Akışlar, otomasyon kuralları altyapısına iki yeni tetikleyici ekler. Önceden var olan Uyarı oluşturma tetikleyicisi Basit Akışlar'ın bir parçası değildir, ancak yeni Uyarıyı Güncelleştir eylemi bunu kullandığından burada listelenir.

Trigger X olduğunda tetiklenir: Kullanılabilir bağlam Statü
Kayıt oluşturuldu Yeni bir vaka, el ile, XDR korelasyonu sonucunda otomatik olarak, API aracılığıyla veya başka bir otomasyon kuralı tarafından oluşturulur. Olay Kimliği, Başlık, Önem Derecesi, Durum, Sorumlu, Açıklama, Etiketler, Kaynak, Oluşturulma zamanı ve kiracınızda tanımlanan tüm özel olay alanları. Genel önizleme
Kayıt güncellendi Mevcut bir olay kaydı değiştirildi: durum, önem derecesi, sorumlu, etiketler, görevler veya diğer olay kaydı alanları. Olay Kimliği, Başlık, Önem Derecesi (eski ve yeni), Durum (eski ve yeni), Sahip, Etiketler, Güncelleştirme zamanı ve kiracınızda tanımlanan olaya ait tüm özel alanlar. Genel önizleme
Uyarı oluşturuldu(var olan) Microsoft Sentinel'de veya Microsoft Defender XDR'da yeni bir uyarı oluşturulur. Uyarı Kimliği, Başlık, Önem Derecesi, Durum, Sağlayıcı, Taktikler, Varlıklar. Genel kullanıma sunuldu

Bilmeniz gereken tetikleyici davranışlar

  • Döngü engelleme. Motor, aynı kuralın tek bir değerlendirme döngüsü içinde aynı vakada yeniden tetiklenmemesi için olayları tekilleştirir. Bu, otomasyon güncelleştirmesinin onu oluşturan kuralı yeniden tetiklediği sonsuz döngülere karşı sizi korur.
  • Her kurtarma için bir ateş. Bir servis talebine aynı anda birkaç değişiklik kaydettiğinizde (örneğin, önem derecesini ve atanan kişiyi birlikte değiştirmek gibi), Servis Talebi güncellendi tetikleyicisi bir kez çalışır ve tüm koşulları her alan için ayrı ayrı değil, son duruma göre değerlendirir.
  • Eski ve yeni değerler. Vaka güncellendi tetikleyicisi, değiştirilen alanların hem önceki hem de yeni değerlerini gösterir; böylece "Önem derecesi Orta'dan Yüksek'e değişti." gibi tam olarak belirtilmiş koşullar yazabilirsiniz.
  • Kural önceliği. Aynı olayla eşleşen birden çok kural varsa, Otomasyon sayfasında yapılandırdığınız öncelik sırasına göre çalıştırılır.

Eylem Başvuru Kılavuzu

Simple Flows, iki kategoride altı eylem sunar: vaka eylemleri (Case Management tarafından desteklenir) ve bir uyarı eylemi (Alerts API tarafından desteklenir). Tüm eylemler, her eylemi doğru aşağı akış hizmetine yönlendiren Birleşik Eylemler platformu aracılığıyla yürütülür.

Eylem Uyumlu tetikleyiciler Yapılandırılabilir alanlar Davranış ve sınırlar
Oluşturulan Vaka E-postasını Gönder Kayıt oluşturuldu Alıcı e-posta adresleri (bir veya daha fazla). Yeni bir kayıt oluşturulduğunda e-posta bildirimi gönderir. Olay bağlamıyla (olay kimliği, başlık, önem derecesi, durum, sorumlu ve olay bağlantısı) Microsoft tarafından yönetilen sabit bir e-posta şablonu kullanır. Gönderen Microsoft Güvenlik'dir.
Servis Talebi Güncelleştirilmiş E-posta Gönder Kayıt güncellendi Alıcı e-posta adresleri. Bir kayıt güncellendiğinde e-posta bildirimi gönderir. Durum bağlamı ve değiştirilen alanların eski ve yeni değerleriyle sabit bir şablon kullanır. Her kurtarma için bir kez ateş eder.
Büyük/Küçük Harfe Dönüştür Vaka oluşturuldu, Vaka güncellendi Standart alanlar: Ad, Açıklama, Atanan, Öncelik, Durum, Son Tarih, Kapanış Notları, E-posta alıcıları, Yetkisiz kullanım süresi. Ayrıca kiracınızda tanımlanan tüm vaka özel alanları. Bir veya daha fazla vaka alanını tek bir işlemle değiştirir. Yalnızca değiştirmek istediğiniz alanları ayarlayın; diğer alanlar değişmeden kalır. Tek bir Case'i Güncelle eylemindeki birden çok alan güncellemesi, tek bir kaydetme işlemi olarak sayılır ve akışın devamında tek bir Case güncellendi olayı üretir.
Görev Ekle Vaka oluşturuldu, Vaka güncellendi Görev başına: Ad (gerekli), Durum, Öncelik, Atama Tarihi, Son Tarih, Açıklama, Kapanış Notları. Bir olaya, listelendikleri sırayla bir veya daha fazla inceleme görevi ekler. Sınır: Kural başına en fazla 10 görev. Eylem yinelenenleri kaldırmaz, bu nedenle yinelenen kural çalıştırmaları yeniden görev ekler. İstenmeyen yeniden tetiklenmeyi önlemek için Durum güncelleştirme koşullarını kullanın.
Güncelleme Uyarısı Uyarı oluşturuldu Durum, Sınıflandırma, Belirleme, Atanan. Microsoft Sentinel veya Microsoft Defender XDR uyarılarındaki alanları değiştirir. Alerts API’si üzerinden yürütülür ve hemen uyarıya yansır. Yüksek hacimli, düşük doğruluklu uyarıların otomatik olarak sınıflandırılması için kullanışlıdır.

Note

Bu sürümde üç e-posta eylemi için şu kısıtlamalar geçerlidir: e-postalar sabit, Microsoft tarafından yönetilen bir şablon kullanır (özelleştirme desteklenmez), gönderen her zaman Microsoft Güvenlik'dir, CC ve BCC alıcıları desteklenmez ve e-posta çalıştırma kayıtları olay denetim günlüğüne yazılmaz; bu nedenle olay zaman çizelgesinden bir bildirimin gönderilip gönderilmediğini doğrulayamazsınız.

Tetikleyici ve eylem uyumluluğu

Her eylem her tetikleyiciyle çalışmaz. Aşağıdaki matris, bu sürümde desteklenen birleşimleri gösterir.

Eylem Kayıt oluşturuldu Kayıt güncellendi Uyarı oluşturuldu
Oluşturulan Olay E-postasını Gönder ✅
Olay Güncellendi E-postasını Gönder ✅
Büyük/Küçük Harf Güncelleştirme ✅ ✅
Görev Ekle ✅ ✅
Uyarıyı Güncelleştir ✅

Uçtan uca adım adım anlatımlar

Aşağıdaki örneklerde, yaygın SOC iş akışları sunmak için Basit Akış tetikleyicilerinin, koşullarının ve eylemlerin nasıl birleştirildiği gösterilmektedir.

Örnek 1: Sınıflandırmaya göre düşük uygunluk uyarılarını otomatik olarak önceliklendirme

Belirli bir sağlayıcıdan gelen bilgilendirici uyarıları zararsız pozitifler olarak otomatik olarak çözerek kuyruğun gerçek tehditlere odaklanmasını sağlayın.

  1. Microsoft Defender portalında Microsoft Sentinel>Automation'a gidin ve +Otomasyon kuralı> seçin.
  2. Tetikleyici'nin altında Uyarı oluşturulduğunda'yı seçin.
  3. Koşullar'ın altında şunları ekleyin:
    • SağlayıcıEşittirUç Nokta için Microsoft Defender
    • Önem DerecesieşittirBilgilendirici
  4. Eylemler'in altında Güncelleştirme Uyarısı'nı şu şekilde ekleyin:
    • Sınıflandırma: Zararsız pozitif
    • Durum: Çözüldü
  5. Kuralı kayıt edin.

Örnek 2: Bir olay kaydı Araştırılıyor durumuna geçtiğinde görevleri ilerletme

Analist araştırmaya başladığı anda aşamaya uygun bir denetim listesi ekleyin.

  1. Microsoft Sentinel>Automation'dan yeni bir otomasyon kuralı oluşturun.
  2. Tetikleyici altında, Bir olay güncellendiğinde seçeneğini belirleyin.
  3. Koşullar'ın altında şunu ekleyin: DurumAraştırılıyorolarak Değiştirildi.
  4. Eylemler'in altında, analistin araştırma aşamasında izlemesini istediğiniz görevlerle Birlikte Görev Ekle'yi ekleyin.
  5. Kuralı kayıt edin.

Tip

Case updated tetikleyicisinin eski ve yeni değerlerini kural önceliğiyle birleştirerek kuralları çakışma olmadan katmanlı şekilde uygulayın. Her durumda çalışan genel bir kural, yalnızca önem derecesi Yüksek veya Kritik olarak değiştiğinde ek eylemler ekleyen daha yüksek öncelikli bir kuralla eşleştirilebilir.

İlgili içerik

  • Son güncelleştirme: