Добавление расширенных условий в правила автоматизации Microsoft Sentinel

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

В этой статье объясняется, как добавить расширенные условия "Или" в правила автоматизации в Microsoft Sentinel для более эффективного рассмотрения инцидентов.

Добавьте условия Or в виде групп условий в разделе Условия правила автоматизации.

Группы условий могут содержать два уровня условий:

Использование групп условий с логикой OR обеспечивает большую мощность и гибкость в определении того, когда будут выполняться правила. Это также значительно повышает вашу эффективность, позволяя объединять многие старые правила автоматизации в одно новое.

Важно!

После 31 марта 2027 г. Microsoft Sentinel больше не будет поддерживаться в портале Azure и будет доступен только в портале Microsoft Defender. Все клиенты, использующие Microsoft Sentinel в портал Azure, будут перенаправлены на портал Defender и будут использовать Microsoft Sentinel только на портале Defender.

Если вы по-прежнему используете Microsoft Sentinel в портал Azure, рекомендуется начать планирование перехода на портал Defender, чтобы обеспечить плавный переход и в полной мере воспользоваться преимуществами унифицированных операций безопасности, предлагаемых Microsoft Defender.

Добавление группы условий

Так как группы условий предлагают гораздо больше возможностей и гибкости при создании правил автоматизации, лучший способ объяснить, как добавить группы условий в правила автоматизации путем представления некоторых примеров.

Давайте создадим правило, которое изменит уровень серьезности входящего инцидента с любого текущего уровня на высокий, если он соответствует условиям, которые мы зададим.

  1. Для Microsoft Sentinel на портале Azure выберите страницу Конфигурация>Автоматизация. Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Настройка>автоматизации.

  2. На странице Автоматизация выберите Создать > правило службы автоматизации на панели кнопок вверху.

    Дополнительные сведения см. в общих инструкциях по созданию правила автоматизации .

  3. Назовите правило : Триаж: Изменить степень тяжести на Высокую.

  4. Выберите триггер При создании инцидента.

  5. В разделе Условия, если показаны условия Поставщик инцидентов и Имя правила аналитики, оставьте их как есть. Условия имени правил Incident Provider и Analytics недоступны, если ваше рабочее пространство подключено к порталу Microsoft Defender. В любом случае вы добавляете дополнительные условия в следующих примерах.

  6. В разделе Действия выберите Изменить серьезность в раскрывающемся списке.

  7. Выберите Высокая в раскрывающемся списке под Изменить уровень серьезности.

Например, вкладки Onboarded и Workspaces, которые не являются встроенными вкладками, показывают примеры из рабочего пространства, которое подключено к порталу Defender либо в порталах Azure, либо в Defender, а также из рабочего пространства, которое не адаптировано:

В следующем примере показано, как создать правило автоматизации для рабочих областей, подключенных к порталу Defender.

Снимок экрана: создание нового правила автоматизации без добавления условий.

Пример 1. Простые условия

В этом первом примере мы создадим простую группу условий: если условие A или условие B имеет значение true, правило будет выполняться, а серьезность инцидента будет иметь значение Высокий.

  1. Выберите раскрывающийся элемент + Добавить и в раскрывающемся списке выберите Группа условий (ИЛИ).

    Снимок экрана: добавление группы условий в набор условий правила автоматизации.

  2. Убедитесь, что отображаются два набора полей условий, разделенных оператором OR . Два набора полей условий — это условия A и B, представляющие две стороны простой группы условий OR: если A или B истинны, правило выполняется.
    (Не путайтесь из-за всех разных ссылок Add — каждая из них объясняется в следующих шагах.)

    Снимок экрана: пустые поля группы условий.

  3. Определите, какими будут эти условия. То есть, какие два разных условия приведут к изменению серьезности инцидента на Высокий? Мы предлагаем следующее:

    • Если связанные с инцидентом тактики MITRE ATT&CK включают любую из четырех тактик, выбранных нами в раскрывающемся списке (см. рисунок ниже), уровень серьезности следует повысить до высокого.

    • Если инцидент содержит сущность Имя узла под названием "SUPER_SECURE_STATION", уровень серьезности следует повысить до высокого уровня.

    Снимок экрана: добавление простых условий ИЛИ в правило автоматизации.

    Если выполняется хотя бы ОДНО из этих условий, будут выполняться заданные в правиле действия, повышая уровень серьёзности инцидента до «Высокий».

Пример 1A. Добавление значения OR в одном условии

Предположим, у нас есть не одна, а две особо чувствительные рабочие станции, инцидентам которых мы хотим присвоить высокий уровень серьёзности. Чтобы добавить ещё одно значение к условию свойства сущности, выберите значок кубика справа от текущего значения состояния, а затем введите дополнительное значение под ним.

Снимок экрана: добавление дополнительных значений в одно условие.

Пример 1B. Добавление дополнительных условий ИЛИ

Предположим, что мы хотим, чтобы это правило выполнялось, если выполняется одно из трех (или более) условий. Если значение A , B или C имеет значение true, правило будет выполняться.

  1. Помните все эти ссылки на добавление ? Чтобы добавить ещё одно условие ИЛИ, выберите элемент + Добавить, соединённый линией с оператором OR.

    Снимок экрана: добавление другого условия OR в правило автоматизации.

  2. Теперь выберите поле, оператор и значение для нового условия, выбрав свойство из выпадающего списка, оператор сравнения и введя целевой значок.

    Снимок экрана: другое условие OR, добавленное в правило автоматизации.

Пример 2. Добавление сложных условий

В этом примере мы добавим несколько условий в каждую сторону группы условий OR, создав составную логику. Цель заключается в том, чтобы правило выполнялось, если A и B являются истинными, ИЛИ если C и D являются истинными.

  1. Чтобы добавить условие на одну сторону группы условий ИЛИ, щелкните ссылку + Добавить сразу под существующим условием на той же стороне OR оператора (в той же области синего оттенка), в которую нужно добавить новое условие.

    Снимок экрана: добавление составного условия в правило автоматизации.

    Вы увидите новую строку, добавленную под существующим условием (в той же области с синим фоном), связанную с ним оператором AND.

    Снимок экрана: пустая строка нового условия в правилах автоматизации.

  2. Заполните параметры и значения для новой строки условий, выбрав свойство, оператор и значение из выпадающих списков, используя тот же метод, что и для предыдущих условий в этой группе условий.

    Снимок экрана: поля новых условий для заполнения для добавления в правила автоматизации.

  3. В любой части группы условий OR выберите ссылку +Добавить под существующим условием, чтобы добавить новую строку, а затем введите параметры и значения нового условия.

    Снимок экрана: добавление нескольких составных условий в правило автоматизации.

Вот и все! Вы можете использовать полученные здесь знания, чтобы добавить больше условий и групп условий, используя различные комбинации операторов AND и OR, для создания мощных, гибких и эффективных правил автоматизации, которые действительно помогут вашему SOC работать бесперебойно и сократить время реакции и решения инцидентов.

Связанные материалы

  • Last updated on