Создание сценариев автоматизации Microsoft Sentinel и управление ими

Сценарии — это наборы процедур, которые можно запускать из Microsoft Sentinel в ответ на инцидент целиком, для отдельного оповещения или для определённой сущности. Сценарий может помочь автоматизировать и координировать реагирование, и его можно привязать к правилу автоматизации, чтобы он запускался автоматически при появлении определенных оповещений или при создании либо обновлении инцидентов. Сценарии также можно запускать вручную по мере необходимости для конкретных инцидентов, оповещений или сущностей.

В этой статье описывается создание сборников схем Microsoft Sentinel и управление ими. Прежде чем начать, убедитесь, что вы выполнили требования к плейбуку, включая подписку на Azure и необходимые роли Logic App Azure. Позже вы можете присоединить эти сборники схем к правилам аналитики или правилам автоматизации или запускать их вручную для определенных инцидентов, оповещений или сущностей.

Предварительные условия

Прежде чем создавать или управлять плейбуками, убедитесь, что вы соответствуете следующим требованиям:

• Учетная запись и подписка Azure. Если у вас нет подписки, создайте бесплатную учетную запись Azure.

• Для создания сборников схем и управления ими необходим доступ к Microsoft Sentinel с одной из следующих Azure ролей:

  Приложение логики	Роли в Azure	Описание
  Потребление	Участник приложения логики	Изменение приложений логики и управление ими.
  Потребление	Оператор приложения логики	Читать, включать и отключать приложения логики.
  Стандартный	Оператор Logic Apps Standard	Включите, отправьте повторно и отключите рабочие процессы.
  Стандартный	Разработчик Standard Logic Apps	Создание и изменение рабочих процессов.
  Стандартный	Участник Logic Apps Standard	Управление всеми аспектами рабочего процесса.

  Дополнительные сведения см. в следующей документации:

  • Secure access to logic app operations in Azure Logic Apps
  • Предварительные требования к сценариям Microsoft Sentinel.

• Перед созданием сценария автоматизации рекомендуется ознакомиться со статьёй Azure Logic Apps для сценариев автоматизации Microsoft Sentinel.

Создать сценарий

Чтобы создать сборник схем в Microsoft Sentinel, выполните следующие действия:

1. На портале Defender или в портал Azure перейдите в рабочую область Microsoft Sentinel. В меню рабочей области в разделе Конфигурация выберите Автоматизация.

   • Портал Defender
   • Портал Azure

   

2. В верхнем меню выберите Создать, а затем выберите один из следующих параметров:

   • Если вы создаете сборник схем потребления, выберите один из следующих вариантов, в зависимости от триггера, который вы хотите использовать, и выполните действия по подготовке сборника схем приложения логики потребления:

     • Плейбук с триггером инцидента
     • Сборник схем с триггером оповещений
     • Сборник схем с триггером сущности

     В этом примере выберите Плейбук с триггером сущности.

   • Если вы создаете сценарий Standard, выберите Пустой сценарий, а затем подготовьте сценарий приложения логики Standard.

   Дополнительные сведения см. в разделах Поддерживаемые типы приложений логики и Поддерживаемые триггеры и действия в сборниках схем Microsoft Sentinel.

Подготовьте приложение логики для вашего сценария

Выберите одну из следующих вкладок, чтобы узнать, как создать приложение логики для вашего сценария, в зависимости от того, используете ли вы приложение логики Consumption или Standard. Дополнительные сведения см. в разделе Поддерживаемые типы приложений логики.

Настройте проверку подлинности подключений для действий в плейбуке

При добавлении триггера или последующего действия, требующего проверки подлинности, может быть предложено выбрать один из доступных типов проверки подлинности, поддерживаемых соответствующим поставщиком ресурсов. В этом примере триггер Microsoft Sentinel является первой операцией, которую вы добавляете в рабочий процесс. Таким образом, поставщик ресурсов является Microsoft Sentinel, который поддерживает несколько вариантов проверки подлинности. Дополнительные сведения см. в следующей документации:

• Аутентификация сценариев в Microsoft Sentinel
• Поддерживаемые триггеры и действия в сценариях автоматизации Microsoft Sentinel

Добавление действий в сборник схем

Теперь, когда у вас есть рабочий процесс для сборника схем, определите, что происходит при вызове сборника схем. Добавьте действия, логические условия, циклы или условия переключения, выбрав знак "плюс" (+) в конструкторе. Дополнительные сведения см. в разделе Создание рабочего процесса с помощью триггера или действия.

При этом откроется область Добавить действие , где можно просматривать или искать службы, приложения, системы, действия потока управления и многое другое. После ввода условий поиска или выбора нужного ресурса в списке результатов отображаются доступные действия.

В каждом действии при выборе внутри поля вы получаете следующие параметры:

• Динамическое содержимое (значок молнии). Выберите из списка доступных выходных данных из предыдущих действий в рабочем процессе, включая триггер Microsoft Sentinel. Например, эти выходы могут включать атрибуты предупреждения или инцидента, переданного в плейбуке, включая значения и атрибуты всех полей карты для сущностей и поверхностные кастомные детали в оповещениях в оповещении или инциденте. Вы можете добавить ссылки на текущее действие, выбрав эти выходные данные.

  Примеры, демонстрирующие использование динамического содержимого, см. в разделе "Использование сборников схем сущностей без идентификатора инцидента " и "Работа с пользовательскими сведениями".

• Редактор выражений (значок функции): выберите из большой библиотеки функций, чтобы добавить дополнительную логику в рабочий процесс.

Дополнительные сведения см. в статье Поддерживаемые триггеры и действия в сборниках схем Microsoft Sentinel.

Динамическое содержимое: сценарии для сущностей без идентификатора инцидента

Плейбуки, созданные с помощью триггера сущности Microsoft Sentinel, часто используют поле Incident ARM ID, которое содержит идентификатор Azure Resource Manager для соответствующего инцидента. Это поле используется, например, для обновления инцидента после действий в отношении сущности. Если такой сценарий запускается в ситуации, не связанной с инцидентом, например во время поиска угроз, идентификатор инцидента для заполнения этого поля отсутствует. Вместо этого поле заполняется значением NULL. В результате сценарий может не выполниться до конца.

Чтобы предотвратить этот сбой, рекомендуется создать условие, которое проверяет значение в поле идентификатора инцидента перед выполнением рабочим процессом других действий. Вы можете назначить другой набор действий, если поле имеет значение NULL, так как сборник схем не запускается из инцидента.

1. В вашем рабочем процессе перед первым действием, ссылающимся на поле Incident ARM ID, добавьте действие Условие в конструкторе рабочих процессов.

2. В области Условие в строке условия выберите левое поле Выберите значение , а затем выберите параметр динамического содержимого (значок молнии).

3. В списке динамического содержимого в разделе Инцидент Microsoft Sentinel используйте поле поиска, чтобы найти и выбрать Идентификатор ARM инцидента.

   Совет

   Если выходные данные не отображаются в списке, рядом с именем триггера выберите Дополнительные сведения.

4. В центральном поле в списке операторов выберите не равно.

5. В правой части поля Выберите значение и выберите параметр редактора выражений (значок функции).

6. В редакторе введите null и нажмите кнопку Добавить.

Когда вы закончите, условие будет выглядеть примерно как в следующем примере:

Динамический контент: Работа с настраиваемыми сведениями

В триггере инцидента Microsoft Sentinel выход пользовательских деталей Alert представляет собой массив JSON-объектов, каждый из которых представляет пользовательскую деталь, как описано в Surface в оповещениях. Настраиваемые данные — это пары «ключ — значение», которые позволяют выводить сведения из событий в оповещении, чтобы затем отображать, отслеживать и анализировать их в рамках инцидента.

Это поле в оповещении можно настроить, поэтому его схема зависит от типа отображаемого события. Чтобы создать схему, которая определяет, как анализировать выходные данные пользовательских сведений, предоставьте данные из экземпляра этого события:

1. В меню рабочей области Microsoft Sentinel в разделе Конфигурация выберите Аналитика.

2. Следуйте шагам для создания или открытия существующего правила создания запланированной аналитики или правила аналитики NRT.

3. На вкладке Задать логику правиларазверните раздел Пользовательские сведения, например:

   

   В следующей таблице приведены дополнительные сведения об этих парах "ключ—значение".

   Элемент	Расположение	Описание
   Ключ	Левый столбец	Представляет настраиваемые поля, которые вы создаете.
   Значение	Правый столбец	Представляет поля из данных события, которые заполняют настраиваемые поля.

4. Чтобы создать схему, укажите следующий пример кода JSON:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   В коде имена ключей отображаются как массивы, а значения — как элементы в массивах. Значения отображаются в качестве фактических значений, а не столбца, содержащего значения.

Чтобы использовать настраиваемые поля для триггеров инцидентов, выполните следующие действия для рабочего процесса:

1. В конструкторе рабочих процессов в разделе триггера Инцидент Microsoft Sentinel добавьте встроенное действие с именем Анализ JSON.

2. Выберите внутри параметра Content действия и выберите параметр списка динамического содержимого (значок молнии).

3. В списке в разделе триггеров инцидента найдите и выберите Настраиваемые сведения оповещения, например:

   

   Этот выбор автоматически добавляет цикл For each вокруг Parse JSON, так как инцидент содержит массив оповещений.

4. На панели сведений Parse JSON выберите Использовать образец полезной нагрузки для создания схемы, например:

   

5. В поле Ввод или вставка примера полезных данных JSON укажите пример полезных данных и нажмите кнопку Готово.

   Например, вы можете найти пример данных полезной нагрузки, если найдете в Log Analytics другой экземпляр этого оповещения, а затем скопируете объект настраиваемых сведений, который находится в разделе Расширенные свойства. Чтобы получить доступ к данным Log Analytics, перейдите на страницу Журналы в портал Azure или на страницу Расширенной охоты на портале Defender.

   В следующем примере приведен образец JSON-полезной нагрузки custom-details из шага 4 процедуры создания схемы:

   

   По завершении поле Схема теперь содержит созданную схему на основе предоставленного примера. Действие Синтаксический анализ JSON создает настраиваемые поля, которые теперь можно использовать в качестве динамических полей с типом Array в последующих действиях рабочего процесса.

   В следующем примере показан массив и его элементы как в схеме, так и в списке динамического содержимого для последующего действия с именем Compose:

   

Управляйте своими плейбуками

Выберите вкладку Автоматизация > Активные сценарии, чтобы просмотреть все сценарии, к которым у вас есть доступ, отфильтрованные в соответствии с представлением подписки.

После подключения к порталу Microsoft Defender на вкладке Активные сценарии по умолчанию отображается предустановленный фильтр для подписки подключенной рабочей области. В портале Azure измените отображаемые подписки в меню Каталог + подписка в глобальном заголовке страницы Azure.

Хотя на вкладке Активные сборники схем отображаются все активные сборники схем, доступные в выбранных подписках, по умолчанию сборник схем можно использовать только в подписке, к которой он принадлежит, если вы специально не предоставите Microsoft Sentinel разрешения группе ресурсов сборника схем.

На вкладке Активные плейбуки отображаются ваши плейбуки со следующими сведениями:

Выберите сценарий автоматизации, чтобы открыть его страницу Azure Logic Apps, на которой отображаются дополнительные сведения об этом сценарии автоматизации. На странице Azure Logic Apps:

• Просмотреть журнал всех запусков плейбука
• Просмотр результатов выполнения, включая успехи и сбои, а также другие сведения
• Если у вас есть соответствующие разрешения, откройте конструктор рабочих процессов в Azure Logic Apps, чтобы изменить сборник схем напрямую.

Связанные материалы

• Автоматизируйте и запускайте сценарии автоматизации Microsoft Sentinel
• Аутентификация сценариев автоматизации в Microsoft Sentinel
• Используйте сборник схем автоматизации Microsoft Sentinel, чтобы блокировать пользователей, которые могут быть скомпрометированы