Автоматизируйте и запускайте сценарии Microsoft Sentinel

Сценарии — это наборы процедур, которые можно запускать из Microsoft Sentinel в ответ на инцидент целиком, для отдельного оповещения или для определённой сущности. Сборник схем может помочь автоматизировать и оркестрировать ответы. Его можно настроить для автоматического запуска при создании определенных оповещений или при создании или обновлении инцидентов путем присоединения к правилу автоматизации. Его также можно запускать вручную по требованию для конкретных инцидентов, оповещений или объектов.

В этой статье описывается, как присоединить сборники схем к правилам аналитики или правилам автоматизации, а также вручную запускать сборники схем для конкретных инцидентов, оповещений или сущностей. Перед началом работы убедитесь, что вы соответствуете предварительным требованиям, включая необходимые роли Azure и разрешения для плейбука.

Предварительные условия

Перед началом работы убедитесь, что у вас есть сборник схем, доступный для автоматизации или запуска с определенным триггером, условиями и действиями. Дополнительные сведения см. в статье Создание сборников схем Microsoft Sentinel и управление ими.

Необходимые роли Azure для запуска плейбуков

Для запуска сценариев автоматизации необходимы следующие роли Azure:

Дополнительные сведения о требуемых ролях и разрешениях см. в предварительных требованиях к сценарию.

Дополнительные разрешения, необходимые для запуска сценариев для инцидентов

Microsoft Sentinel использует учетную запись службы для запуска плейбуков для инцидентов, повышения безопасности и обеспечения поддержки сценариев использования CI/CD через API правил автоматизации. Эта учетная запись службы используется для плейбуков, запускаемых при возникновении инцидента, или при ручном запуске плейбука для конкретного инцидента.

Помимо ваших собственных ролей и разрешений, эта учетная запись службы Microsoft Sentinel должна иметь собственный набор разрешений для группы ресурсов, в которой находится плейбук, в виде роли Microsoft Sentinel Automation Contributor. Когда Microsoft Sentinel получает эту роль, он может запустить любой сборник схем в соответствующей группе ресурсов вручную или из правила автоматизации.

Чтобы предоставить Microsoft Sentinel с необходимыми разрешениями, необходимо иметь роль владельца или администратора доступа пользователей. Чтобы запускать сценарии автоматизации, вам также потребуется роль Logic App Contributor для группы ресурсов, содержащей сценарии автоматизации, которые вы хотите запускать.

Настройте права доступа для сценариев инцидентов в мультитенантном развертывании

Если в мультитенантном развертывании сборник схем, который вы хотите запустить, находится в другом клиенте, необходимо предоставить учетной записи службы Microsoft Sentinel разрешение на запуск сборника схем в клиенте сборника схем.

1. В меню навигации Microsoft Sentinel в тенанте плейбуков выберите Параметры.

2. На странице Настройки выберите вкладку Настройки, затем разверните раздел Разрешения плейбука.

3. Нажмите кнопку Настроить разрешения, чтобы открыть панель Управление разрешениями .

4. Установите флажки для групп ресурсов, содержащих сценарии, которые вы хотите запустить, и выберите Применить. Например, вы можете:

   

Вы сами должны иметь разрешения Owner для каждой группы ресурсов, для которой вы хотите предоставить Microsoft Sentinel разрешения, и у вас должна быть роль Microsoft Sentinel Playbook Operator для любой группы ресурсов, содержащей плейбуки, которые вы хотите запускать.

Если в сценарии MSSP нужно запустить сценарий автоматизации в клиентском тенанте из правила автоматизации, созданного в сеансе входа в тенант поставщика услуг, необходимо предоставить Microsoft Sentinel разрешение на выполнение сценария автоматизации в обоих тенантах:

• В клиентском арендаторе, следуйте стандартным инструкциям для многоарендаторного развертывания.

• В тенанте поставщика услуг добавьте приложение Azure Security Insights в шаблон подключения Azure Lighthouse следующим образом:

  1. В портал Azure перейдите к Microsoft Entra ID и выберите Корпоративные приложения.
  2. Выберите Тип приложения и отфильтруйте в разделе Приложения Майкрософт.
  3. В поле поиска введите Azure Security Insights.
  4. Скопируйте поле Идентификатор объекта . Необходимо добавить эту дополнительную авторизацию в имеющееся делегирование Azure Lighthouse.

Роль Microsoft Sentinel Automation Contributor имеет фиксированный идентификатор GUID f4c81013-99ee-4d62-a7ee-b3f1f648599a. Чтобы назначить приложению Azure Security Insights эту роль в вашей делегации Azure Lighthouse, добавьте следующую запись авторизации в шаблон параметров. Замените principalId значение на Object ID, который вы скопировали на предыдущем шаге:

{
"principalId": "<Enter the Azure Security Insights app Object ID>", 
"roleDefinitionId": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
"principalIdDisplayName": "Microsoft Sentinel Automation Contributors" 
}

Автоматизация реагирования на инциденты и оповещения

Чтобы автоматически реагировать на все инциденты или отдельные оповещения с помощью сборника схем, создайте правило автоматизации, которое выполняется при создании или обновлении инцидента или при создании оповещения. Это правило автоматизации включает шаг, который вызывает сборник схем, который вы хотите использовать.

Чтобы создать правило автоматизации, выполните приведенные далее действия.

1. На странице Автоматизация в меню навигации Microsoft Sentinel выберите Создать в верхнем меню, а затем — Правило автоматизации. Например, вы можете:

   

2. Откроется панель Создание нового правила автоматизации . Введите название правила. Доступные вам варианты отличаются в зависимости от того, подключена ли ваша рабочая область к порталу Microsoft Defender. Например, вы можете:

   • Подключенные рабочие области
   • Рабочие области, которые не подключены

   

3. Триггер: Выберите соответствующий триггер в соответствии с обстоятельствами, для которых создается правило автоматизации: при создании инцидента, при обновлении инцидента или при создании оповещения.

4. Условия:

   1. Если рабочая область еще не подключена к порталу Defender, инциденты могут иметь два возможных источника:

      • Инциденты можно создавать внутри Microsoft Sentinel
      • Инциденты можно импортировать из и синхронизировать с Microsoft Defender XDR.

      Если вы выбрали один из триггеров инцидентов и хотите, чтобы правило автоматизации действовало только для инцидентов, исходных в Microsoft Sentinel или в Microsoft Defender XDR, укажите источник в условии Если поставщик инцидентов равен.

      Это условие отображается только в том случае, если выбран триггер инцидента и ваша рабочая область не подключена к порталу Defender.

   2. Для всех типов триггеров, если вы хотите, чтобы правило автоматизации применялось только к определённым правилам аналитики, укажите, к каким именно, изменив условие If Analytics rule name contains.

   3. Добавьте любые другие условия, которые будут определять, выполняется ли это правило автоматизации. Выберите + Добавить и выберите условия или группы условий в раскрывающемся списке. Список условий формируется на основе полей сведений об оповещении и полей идентификатора сущности.

5. Действия:

   1. Так как вы используете это правило автоматизации для запуска сборника схем, выберите действие Запустить сборник схем в раскрывающемся списке. После этого вам будет предложено выбрать элемент из второго раскрывающегося списка, в котором отображаются доступные плейбуки. Правило автоматизации может запускать только те сборники схем, которые начинаются с того же триггера (инцидента или оповещения), что и триггер, определенный в правиле, поэтому в списке отображаются только те сборники схем.

      Если сценарий автоматизации отображается серым в раскрывающемся списке, это означает, что у Microsoft Sentinel нет доступа к группе ресурсов этого сценария автоматизации. Выберите ссылку Управление разрешениями сценария, чтобы назначить разрешения.

      На открывшейся панели Управление разрешениями установите флажки для групп ресурсов, содержащих сценарии, которые вы хотите запустить, и выберите Применить. Например, вы можете:

      

      Вы сами должны иметь разрешения Owner для каждой группы ресурсов, для которой вы хотите предоставить Microsoft Sentinel разрешения, и у вас должна быть роль Microsoft Sentinel Playbook Operator для любой группы ресурсов, содержащей плейбуки, которые вы хотите запускать.

      Дополнительные сведения см. в разделе Дополнительные разрешения, необходимые для запуска сборников схем для инцидентов.

   2. Добавьте любые другие действия, которые вы хотите применить к этому правилу. Вы можете изменить порядок выполнения действий, щелкнув стрелки вверх или вниз справа от любого действия.

6. Задайте дату окончания срока действия для правила автоматизации, если вы хотите, чтобы оно было.

7. Введите число в поле Order , чтобы определить, где в последовательности правил автоматизации выполняется это правило.

8. Нажмите кнопку Применить , чтобы завершить автоматизацию.

Дополнительные сведения см. в статье Создание сборников схем Microsoft Sentinel и управление ими.

Реагирование на оповещения — устаревший метод

Другой способ автоматического запуска сборников схем в ответ на оповещения — вызвать их из правила аналитики. Когда правило генерирует оповещение, запускается сценарий.

Вызов сценариев из аналитических правил будет объявлен устаревшим с марта 2026 г.

Начиная с июня 2023 года вы больше не можете добавлять сборники схем непосредственно из правила аналитики. Тем не менее, вы по-прежнему можете видеть существующие сценарии, которые вызываются из правил аналитики, и эти сценарии будут по-прежнему выполняться до марта 2026 года. Мы настоятельно рекомендуем вам вместо этого создать правила автоматизации для вызова этих сценариев до этого момента.

Запуск сборника схем вручную по запросу

Вы также можете вручную запускать плейбук при необходимости — например, в ответ на оповещения, инциденты или сущности. Это может быть полезно в ситуациях, когда требуется больше человеческого участия в процессах оркестрации и реагирования и контроля над ней.

Запустите плейбук вручную для оповещения

Запуск сборника схем вручную в оповещении не поддерживается на портале Defender.

В портале Azure выберите одну из следующих вкладок в соответствии с вашей средой:

Историю выполнения сборников правил для оповещения можно просмотреть, выбрав вкладку Запуски на панели Сборники правил оповещения. Любое только что завершившееся выполнение может появиться в списке через несколько секунд. При выборе конкретного запуска открывается журнал полного выполнения в Logic Apps.

Запуск сборника схем вручную при инциденте

Процедура запуска сценария вручную для инцидента различается в зависимости от того, используете ли вы портал Azure или портал Defender. Выберите соответствующую вкладку для своей среды:

Просмотрите историю запусков сценариев по инциденту, выбрав вкладку Запуски на панели Запуск сценария для инцидента. Любое только что завершившееся выполнение может появиться в списке через несколько секунд. При выборе конкретного запуска открывается журнал полного выполнения в Logic Apps.

Запустить сценарий вручную для сущности

Выберите сущность одним из следующих способов в зависимости от исходного контекста:

Независимо от того, из какого контекста вы перешли, последний шаг этой процедуры выполняется на панели Запуск плейбука для <типа сущности>. На этой панели отображается список всех сценариев, к которым у вас есть доступ и в которых используется триггер Microsoft Sentinel Entity Logic Apps для выбранного типа сущности.

На панели Запуск схемы автоматизации для *<типа сущности> выберите вкладку Запуски, чтобы просмотреть историю запусков схемы автоматизации для выбранной сущности. Любое только что завершившееся выполнение может появиться в списке через несколько секунд. При выборе конкретного запуска открывается журнал полного выполнения в Logic Apps.

Связанные материалы

• Создание плейбуков Microsoft Sentinel и управление ими
• Автоматизация реагирования на угрозы в Microsoft Sentinel с помощью правил автоматизации