Создание сборников схем Microsoft Sentinel и управление ими

Сборники схем — это коллекции процедур, которые могут выполняться от Microsoft Sentinel в ответ на весь инцидент, на отдельное оповещение или на определенную сущность. Сборник схем может помочь автоматизировать и оркестрировать ответы и может быть присоединен к правилу автоматизации для автоматического запуска при создании определенных оповещений или при создании или обновлении инцидентов. Сборники схем также можно запускать вручную по запросу для конкретных инцидентов, оповещений или сущностей.

В этой статье описывается создание сборников схем Microsoft Sentinel и управление ими. Позже вы можете присоединить эти сборники схем к правилам аналитики или правилам автоматизации или запускать их вручную для определенных инцидентов, оповещений или сущностей.

Предварительные условия

• Учетная запись и подписка Azure. Если у вас нет подписки, зарегистрируйтесь для получения бесплатной учетной записи Azure.

• Для создания сборников схем и управления ими необходим доступ к Microsoft Sentinel с одной из следующих Azure ролей:

  Приложение логики	Роли в Azure	Описание
  Потребление	Участник приложения логики	Изменение приложений логики и управление ими.
  Потребление	Оператор приложения логики	Чтение, включение и отключение приложений логики.
  Стандартный	Оператор Standard Logic Apps	Включение, повторная отправка и отключение рабочих процессов.
  Стандартный	Разработчик Standard Logic Apps	Создание и изменение рабочих процессов.
  Стандартный	Участник Standard Logic Apps	Управление всеми аспектами рабочего процесса.

  Дополнительные сведения см. в следующей документации:

  • Доступ к операциям приложения логики
  • Microsoft Sentinel предварительные требования к сборнику схем.

• Перед созданием сборника схем рекомендуется прочитать Azure Logic Apps для Microsoft Sentinel сборников схем.

Создание сборника схем

Чтобы создать сборник схем в Microsoft Sentinel, выполните следующие действия:

1. На портале Defender или в портал Azure перейдите в рабочую область Microsoft Sentinel. В меню рабочей области в разделе Конфигурация выберите Автоматизация.

   • Портал Defender
   • Портал Azure

   

2. В верхнем меню выберите Создать, а затем выберите один из следующих параметров:

   • Если вы создаете сборник схем потребления, выберите один из следующих параметров в зависимости от триггера, который вы хотите использовать, а затем выполните действия для приложения логики потребления:

     • Сборник схем с триггером инцидента
     • Сборник схем с триггером оповещений
     • Сборник схем с триггером сущности

     Это руководство продолжается с сборником схем с триггером сущности.

   • Если вы создаете сборник схем Standard, выберите Пустой сборник схем, а затем выполните действия для типа приложения логики Standard.

   Дополнительные сведения см. в разделах Поддерживаемые типы приложений логики и Поддерживаемые триггеры и действия в сборниках схем Microsoft Sentinel.

Подготовка приложения логики сборника схем

Выберите одну из следующих вкладок, чтобы узнать, как создать приложение логики для сборника схем в зависимости от того, используете ли вы приложение логики для потребления или Standard. Дополнительные сведения см. в разделе Поддерживаемые типы приложений логики.

Запросы проверки подлинности

При добавлении триггера или последующего действия, требующего проверки подлинности, может быть предложено выбрать один из доступных типов проверки подлинности, поддерживаемых соответствующим поставщиком ресурсов. В этом примере триггер Microsoft Sentinel является первой операцией, которую вы добавляете в рабочий процесс. Таким образом, поставщик ресурсов является Microsoft Sentinel, который поддерживает несколько вариантов проверки подлинности. Дополнительные сведения см. в следующей документации:

• Проверка подлинности сборников схем для Microsoft Sentinel
• Поддерживаемые триггеры и действия в сборниках схем Microsoft Sentinel

Добавление действий в сборник схем

Теперь, когда у вас есть рабочий процесс для сборника схем, определите, что происходит при вызове сборника схем. Добавьте действия, логические условия, циклы или условия переключения, выбрав знак "плюс" (+) в конструкторе. Дополнительные сведения см. в разделе Создание рабочего процесса с помощью триггера или действия.

При этом откроется область Добавить действие , где можно просматривать или искать службы, приложения, системы, действия потока управления и многое другое. После ввода условий поиска или выбора нужного ресурса в списке результатов отображаются доступные действия.

В каждом действии при выборе внутри поля вы получаете следующие параметры:

• Динамическое содержимое (значок молнии). Выберите из списка доступных выходных данных из предыдущих действий в рабочем процессе, включая триггер Microsoft Sentinel. Например, эти выходные данные могут включать атрибуты оповещения или инцидента, переданного в сборник схем, включая значения и атрибуты всех сопоставленных сущностей и пользовательские сведения в оповещении или инциденте. Вы можете добавить ссылки на текущее действие, выбрав эти выходные данные.

  Примеры использования динамического содержимого см. в следующих разделах:

  • Использование сборников схем сущностей без идентификатора инцидента
  • Работа с пользовательскими сведениями

• Редактор выражений (значок функции): выберите из большой библиотеки функций, чтобы добавить дополнительную логику в рабочий процесс.

Дополнительные сведения см. в разделе Поддерживаемые триггеры и действия в Microsoft Sentinel сборниках схем.

Динамическое содержимое: сборники схем сущностей без идентификатора инцидента

Сборники схем, созданные с помощью триггера сущности Microsoft Sentinel, часто используют поле Идентификатор ARM инцидента, например, для обновления инцидента после выполнения действий с сущностью. Если такой сборник схем активируется в сценарии, который не подключен к инциденту, например при охоте на угрозы, идентификатор инцидента для заполнения этого поля отсутствует. Вместо этого поле заполняется значением NULL. В результате сборник схем может завершиться сбоем.

Чтобы предотвратить этот сбой, рекомендуется создать условие, которое проверяет значение в поле идентификатора инцидента перед выполнением рабочим процессом других действий. Вы можете назначить другой набор действий, если поле имеет значение NULL, так как сборник схем не запускается из инцидента.

1. В рабочем процессе перед первым действием, которое ссылается на поле Идентификатор ARM инцидента, выполните следующие общие действия, чтобы добавить действие Условие.

2. В области Условие в строке условия выберите левое поле Выберите значение , а затем выберите параметр динамического содержимого (значок молнии).

3. В списке динамического содержимого в разделе Microsoft Sentinel инциденте используйте поле поиска, чтобы найти и выбрать Идентификатор ARM инцидента.

   Совет

   Если выходные данные не отображаются в списке, рядом с именем триггера выберите Дополнительные сведения.

4. В среднем поле в списке операторов выберите значение не равно.

5. В правой части поля Выберите значение и выберите параметр редактора выражений (значок функции).

6. В редакторе введите null и нажмите кнопку Добавить.

По завершении условие будет выглядеть примерно так, как показано в следующем примере:

Динамическое содержимое: работа с пользовательскими сведениями

В триггере инцидента Microsoft Sentinel выходные данные оповещений — это массив объектов JSON, каждый из которых представляет пользовательские сведения из оповещения. Пользовательские сведения — это пары "ключ—значение", которые позволяют отображать информацию из событий в оповещении, чтобы их можно было представить, отслеживать и анализировать в ходе инцидента.

Это поле в оповещении можно настроить, поэтому его схема зависит от типа отображаемого события. Чтобы создать схему, которая определяет, как анализировать выходные данные пользовательских сведений, предоставьте данные из экземпляра этого события:

1. В меню рабочей области Microsoft Sentinel в разделе Конфигурация выберите Аналитика.

2. Выполните действия, чтобы создать или открыть существующее запланированное правило запроса или правило запроса NRT.

3. На вкладке Задать логику правиларазверните раздел Пользовательские сведения, например:

   

   В следующей таблице приведены дополнительные сведения об этих парах "ключ—значение".

   Элемент	Расположение	Описание
   Ключ	Левый столбец	Представляет настраиваемые поля, которые вы создаете.
   Значение	Правый столбец	Представляет поля из данных события, которые заполняют настраиваемые поля.

4. Чтобы создать схему, укажите следующий пример кода JSON:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   В коде имена ключей отображаются как массивы, а значения — как элементы в массивах. Значения отображаются в качестве фактических значений, а не столбца, содержащего значения.

Чтобы использовать настраиваемые поля для триггеров инцидентов, выполните следующие действия для рабочего процесса:

1. В конструкторе рабочих процессов в триггере инцидента Microsoft Sentinel добавьте встроенное действие с именем Анализ JSON.

2. Выберите внутри параметра Content действия и выберите параметр списка динамического содержимого (значок молнии).

3. В списке в разделе триггера инцидента найдите и выберите Оповещение настраиваемые сведения, например:

   

   Этот выбор автоматически добавляет цикл For each для анализа JSON , так как инцидент содержит массив оповещений.

4. В области Сведений о анализе JSON выберите Использовать пример полезных данных для создания схемы, например:

   

5. В поле Ввод или вставка примера полезных данных JSON укажите пример полезных данных и нажмите кнопку Готово.

   Например, вы можете найти пример полезных данных, найдя в Log Analytics другой экземпляр этого оповещения, а затем скопировав объект пользовательских сведений, который можно найти в разделе Расширенные свойства. Чтобы получить доступ к данным Log Analytics, перейдите на страницу Журналы в портал Azure или на страницу Расширенной охоты на портале Defender.

   В следующем примере показан предыдущий пример кода JSON:

   

   По завершении поле Схема теперь содержит созданную схему на основе предоставленного примера. Действие Синтаксический анализ JSON создает настраиваемые поля, которые теперь можно использовать в качестве динамических полей с типом Array в последующих действиях рабочего процесса.

   В следующем примере показан массив и его элементы как в схеме, так и в списке динамического содержимого для последующего действия с именем Compose:

   

Управление сборниками схем

Перейдите на вкладку Автоматизация > активных сборников схем , чтобы просмотреть все сборники схем, к которым у вас есть доступ, с фильтрацией по представлению подписки.

После подключения к порталу Microsoft Defender по умолчанию на вкладке Активные сборники схем отображается предопределенный фильтр с подпиской подключенной рабочей области. В портал Azure измените подписки, отображаемые в меню Каталог и подписка в заголовке глобальной страницы Azure.

Хотя на вкладке Активные сборники схем отображаются все активные сборники схем, доступные в выбранных подписках, по умолчанию сборник схем можно использовать только в подписке, к которой он принадлежит, если вы специально не предоставите Microsoft Sentinel разрешения группе ресурсов сборника схем.

На вкладке Активные сборники схем отображаются сборники схем со следующими сведениями:

Выберите сборник схем, чтобы открыть его Azure страницу Logic Apps, на которой отображаются дополнительные сведения о сборнике схем. На странице Azure Logic Apps:

• Просмотр журнала всех попыток запуска сборника схем
• Просмотр результатов выполнения, включая успехи и сбои, а также другие сведения
• Если у вас есть соответствующие разрешения, откройте конструктор рабочих процессов в Azure Logic Apps, чтобы изменить сборник схем напрямую.

Связанные материалы

После создания сборника схем подключите его к правилам, которые будут активироваться событиями в вашей среде, или запустите сборники схем вручную для определенных инцидентов, оповещений или сущностей.

Дополнительные сведения см. в разделе:

• Автоматизация и запуск сборников схем Microsoft Sentinel
• Проверка подлинности сборников схем для Microsoft Sentinel
• Использование Microsoft Sentinel сборника схем для остановки потенциально скомпрометированных пользователей