Создание и управление плейбуками Microsoft Sentinel

Сборники схем — это коллекции процедур, которые могут выполняться из Microsoft Sentinel в ответ на весь инцидент, на отдельное оповещение или определенную сущность. План действий может помочь автоматизировать и оркестрировать ваш ответ и может быть присоединен к правилу автоматизации для автоматического запуска при генерации определенных оповещений или при создании либо обновлении инцидентов. Сборники схем также можно запускать вручную по запросу по конкретным инцидентам, оповещениям или сущностям.

В этой статье описывается создание сборников схем Microsoft Sentinel и управление ими. Позже эти сборники схем можно подключить к правилам аналитики или правилам автоматизации или запускать их вручную в определенных инцидентах, оповещениях или сущностях.

Предварительные условия

• Учетная запись и подписка Azure. Если у вас нет подписки, зарегистрируйтесь для бесплатной учетной записи Azure.

• Чтобы создавать сборники схем и управлять ими, вам потребуется доступ к Microsoft Sentinel с одной из следующих ролей Azure:

  Логическое приложение	Роли в Azure	Описание
  Потребление	Сотрудник Logic App	Редактирование и управление приложениями логики.
  Потребление	Оператор приложения логики	Чтение, включение и отключение приложений логики.
  Стандарт	Стандартный оператор Logic Apps	Включение, повторная отправка и отключение рабочих процессов.
  Стандарт	Разработчик Logic Apps уровня "Стандартный"	Создание и изменение рабочих процессов.
  Стандарт	Участник Logic Apps Standard	Управление всеми аспектами рабочего процесса.

  Дополнительные сведения см. в следующей документации:

  • Доступ к операциям приложения логики
  • Предварительные требования для плейбука Microsoft Sentinel.

• Перед созданием сборника схем рекомендуется прочитать сборники схем Azure Logic Apps для Microsoft Sentinel.

Создайте плейбук

Чтобы создать сборник схем в Microsoft Sentinel, сделайте следующее.

1. На портале Defender или на портале Azure перейдите в рабочую область Microsoft Sentinel. В меню рабочей области в разделе "Конфигурация" выберите "Автоматизация".

   • Портал Defender
   • Портал Azure

   

2. В верхнем меню выберите "Создать", а затем выберите один из следующих параметров:

   • Если вы создаете сборник схем потребления, выберите один из следующих вариантов в зависимости от триггера, который вы хотите использовать, и выполните действия для приложения логики потребления:

     • Руководство с триггером инцидента
     • Сборник схем с триггером генерации оповещений
     • Сборник схем с триггером сущности

     Это руководство продолжает работу с сборником схем с триггером сущности.

   • Если вы создаете стандартныйсборник схем, выберите пустой сборник схем, а затем выполните действия для типа приложения логики "Стандартный".

   Дополнительные сведения см. в статье Поддерживаемые типы приложений логики и Поддерживаемые триггеры и действия в плейбуках Microsoft Sentinel.

Подготовьте логическое приложение вашего плейбука

Выберите одну из следующих вкладок, чтобы узнать, как создать приложение логики для плейбука в зависимости от того, используете ли вы логику приложения в режиме "Consumption" или "Standard". Дополнительные сведения см. в разделе "Поддерживаемые типы приложений логики".

Запросы проверки подлинности

При добавлении триггера или последующего действия, требующего проверки подлинности, может потребоваться выбрать доступные типы проверки подлинности, поддерживаемые соответствующим поставщиком ресурсов. В этом примере триггер Microsoft Sentinel — это первая операция, которую вы добавляете в рабочий процесс. Таким образом, поставщик ресурсов — Microsoft Sentinel, который поддерживает несколько вариантов проверки подлинности. Дополнительные сведения см. в следующей документации:

• Аутентификация плейбуков в Microsoft Sentinel
• Поддерживаемые триггеры и действия в плейбуках Microsoft Sentinel

Добавьте действия в свой плейбук

Теперь, когда у вас есть поток работ для вашего плейбука, определите, что происходит при вызове плейбука. Добавьте действия, логические условия, циклы или условия переключения, выбрав знак плюса (+) в конструкторе. Дополнительные сведения см. в статье "Создание рабочего процесса с триггером или действием".

Область «Добавить действие» откроется, где можно просматривать или искать службы, приложения, системы, действия потока управления и многое другое. После ввода условий поиска или выбора нужного ресурса в списке результатов отображаются доступные действия.

В каждом действии при выборе внутри поля вы получите следующие параметры:

• Динамическое содержимое (значок молнии): выберите из списка доступных выходных данных из предыдущих действий в рабочем процессе, включая триггер Microsoft Sentinel. Например, эти выходные данные могут включать атрибуты оповещения или инцидента, переданного в сборник схем, включая значения и атрибуты всех сопоставленных сущностей и пользовательских сведений в оповещении или инциденте. Вы можете добавить ссылки на текущее действие, выбрав эти выходные данные.

  Примеры, демонстрирующие использование динамического содержимого, см. в следующих разделах:

  • Использование сборников схем сущностей без идентификатора инцидента
  • Работа с пользовательскими данными

• Редактор выражений (значок функции): выберите из большой библиотеки функций, чтобы добавить в рабочий процесс больше логики.

Дополнительные сведения см. в статье "Поддерживаемые триггеры и действия" в сборниках схем Microsoft Sentinel.

Динамическое содержимое: сборники схем сущностей без идентификатора инцидента

Плейбуки, созданные с помощью триггера сущности Microsoft Sentinel, часто используют поле идентификатора ARM инцидента, например, для обновления инцидента после выполнения действий с этой сущностью. Если такой сборник схем активируется в сценарии, который не подключен к инциденту, например при поиске угроз, не существует идентификатора инцидента для заполнения этого поля. Вместо этого поле заполняется значением NULL. В результате сборник схем может завершиться сбоем.

Чтобы предотвратить этот сбой, рекомендуется создать условие, которое проверяет значение в поле идентификатора инцидента, прежде чем рабочий процесс принимает любые другие действия. Вы можете назначить другой набор действий, которые необходимо предпринять, если поле имеет нулевое значение, из-за того, что плейбук не запускается от инцидента.

1. В рабочем процессе перед первым действием, ссылающимся на поле идентификатора ARM инцидента, выполните следующие общие действия, чтобы добавить действие условия.

2. В области условий в строке условия выберите левое поле "Выбрать значение ", а затем выберите параметр динамического содержимого (значок молнии).

3. В списке динамического содержимого под инцидентом Microsoft Sentinel используйте поле поиска, чтобы найти и выбрать идентификатор ARM инцидента.

   Совет

   Если выходные данные не отображаются в списке, рядом с именем триггера нажмите кнопку "Дополнительные сведения".

4. В среднем поле из списка операторов выберите не равно.

5. В правом поле Выберите значение выберите опцию редактора выражений (значок функции).

6. В редакторе введите null и нажмите кнопку "Добавить".

После завершения ваше условие будет выглядеть примерно так:

Динамическое содержимое: работа с пользовательскими сведениями

В триггере инцидента Microsoft Sentinel выходные данные пользовательских сведений оповещений — это массив объектов JSON, каждый из которых представляет пользовательскую информацию из оповещения. Пользовательские сведения — это пары "ключ-значение", которые позволяют получать сведения о событиях в оповещении, чтобы они могли быть представлены, отслежены и проанализированы как часть инцидента.

Это поле в оповещении настраивается, поэтому его схема зависит от типа события, которое отображается. Чтобы создать схему, которая определяет, как проанализировать выходные данные пользовательских сведений, укажите данные из экземпляра этого события:

1. В меню рабочей области Microsoft Sentinel в разделе "Конфигурация" выберите "Аналитика".

2. Выполните действия, чтобы создать или открыть существующее правило запланированного запроса или правило запроса NRT.

3. На вкладке "Задать логику правила"разверните раздел "Пользовательские сведения", например:

   

   В следующей таблице приведены дополнительные сведения об этих парах ключ/значение.

   Товар	Расположение	Описание
   Ключ	Левый столбец	Представляет создаваемые настраиваемые поля.
   Ценность	Правый столбец	Представляет поля из данных события, заполняющих настраиваемые поля.

4. Чтобы создать схему, укажите следующий пример кода JSON:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   В коде показаны имена ключей в виде массивов и значения в виде элементов в массивах. Значения отображаются как фактические значения, а не столбец, содержащий значения.

Чтобы использовать настраиваемые поля для триггеров инцидентов, выполните следующие действия для рабочего процесса:

1. В конструкторе рабочих процессов в триггере инцидента Microsoft Sentinel добавьте встроенное действие с именем Parse JSON.

2. Выберите параметр содержимого внутри действия, затем выберите опцию списка динамического содержимого (значок в виде молнии).

3. В списке в разделе триггера инцидента найдите и выберите "Настраиваемые сведения оповещений", например:

   

   Этот выбор автоматически добавляет цикл Для каждого вокруг Parse JSON, так как инцидент содержит массив уведомлений.

4. В области сведений о анализе JSON выберите "Использовать пример полезных данных для создания схемы", например:

   

5. В поле "Ввод" или вставьте пример полезных данных JSON, укажите пример полезных данных и нажмите кнопку "Готово".

   Например, найдите пример полезных данных, выполнив поиск в Log Analytics для другого экземпляра этого оповещения, а затем найдите объект пользовательских сведений в Расширенных свойствах и скопируйте его. Чтобы получить доступ к данным Log Analytics, перейдите на страницу "Журналы" на портале Azure или на страницу Расширенное расследование на портале Defender.

   В следующем примере показан предыдущий пример кода JSON:

   

   По завершении поле схемы теперь содержит созданную схему на основе предоставленного примера. Действие анализа JSON создает настраиваемые поля, которые теперь можно использовать в качестве динамических полей с типом массива в последующих действиях рабочего процесса.

   В следующем примере показан массив и его элементы, как в схеме, так и в списке динамического содержимого для последующего действия с именем Compose:

   

Управление плейбуками

Перейдите на вкладку "Активные плейбуки автоматизации>", чтобы просмотреть все плейбуки, к которым у вас есть доступ, отфильтрованные в соответствии с вашим представлением подписки.

После подключения к порталу Microsoft Defender по умолчанию на вкладке "Активные плейбуки" отображается предопределенный фильтр с подпиской подключенной рабочей области. На портале Azure измените подписки, отображаемые в меню "Каталог + подписка " в заголовке глобальной страницы Azure.

Хотя на вкладке "Активные сборники схем" отображаются все активные сборники схем, доступные в любой выбранной подписке, по умолчанию сборник схем можно использовать только в подписке, к которой она принадлежит, если только вы не предоставляете разрешения Microsoft Sentinel группе ресурсов сборника схем.

На вкладке "Активные плейбуки" отображаются плейбуки со следующими сведениями:

Выберите сборник схем, чтобы открыть страницу Azure Logic Apps, которая содержит дополнительные сведения о сборнике схем. На странице Azure Logic Apps:

• Просмотр журнала всех запусков плейбука
• Просмотр результатов выполнения, включая успехи и сбои и другие сведения
• Если у вас есть соответствующие разрешения, откройте конструктор рабочих процессов в Azure Logic Apps, чтобы изменить сборник схем напрямую.

Связанный контент

После создания сборника схем подключите его к правилам для активации событий в вашей среде или вручную запустите сборники схем для определенных инцидентов, оповещений или сущностей.

Дополнительные сведения см. в разделе:

• Автоматизируйте и запускайте плейбуки Microsoft Sentinel
• Аутентификация плейбуков в Microsoft Sentinel
• Использование сборника схем Microsoft Sentinel для остановки потенциально скомпрометированных пользователей