Автоматизация и запуск сборников схем Microsoft Sentinel

Сборники схем — это коллекции процедур, которые могут выполняться от Microsoft Sentinel в ответ на весь инцидент, на отдельное оповещение или на определенную сущность. Сборник схем может помочь автоматизировать и оркестрировать ответы. Его можно настроить для автоматического запуска при создании определенных оповещений или при создании или обновлении инцидентов путем присоединения к правилу автоматизации. Его также можно запускать вручную по запросу для конкретных инцидентов, оповещений или сущностей.

В этой статье описывается, как присоединить сборники схем к правилам аналитики или правилам автоматизации, а также вручную запускать сборники схем для конкретных инцидентов, оповещений или сущностей.

Предварительные условия

Перед началом работы убедитесь, что у вас есть сборник схем, доступный для автоматизации или запуска с определенным триггером, условиями и действиями. Дополнительные сведения см. в статье Создание сборников схем Microsoft Sentinel и управление ими.

Необходимые роли Azure для запуска сборников схем

Для запуска сборников схем требуются следующие Azure роли:

Дополнительные сведения см. в разделе Предварительные требования к сборнику схем.

Дополнительные разрешения, необходимые для запуска сборников схем для инцидентов

Microsoft Sentinel использует учетную запись службы для запуска сборников схем для инцидентов, для добавления безопасности и включения API правил автоматизации для поддержки вариантов использования CI/CD. Эта учетная запись службы используется для сборников схем, активированных инцидентами, или при запуске сборника схем вручную для конкретного инцидента.

Помимо ваших собственных ролей и разрешений, эта Microsoft Sentinel учетная запись службы должна иметь собственный набор разрешений на группу ресурсов, в которой находится сборник схем, в виде роли участника службы автоматизации Microsoft Sentinel. Когда Microsoft Sentinel получает эту роль, он может запустить любой сборник схем в соответствующей группе ресурсов вручную или из правила автоматизации.

Чтобы предоставить Microsoft Sentinel с необходимыми разрешениями, необходимо иметь роль владельца или администратора доступа пользователей. Чтобы запустить сборники схем, вам также потребуется роль Участник приложения логики в группе ресурсов, содержащей сборники схем, которые вы хотите запустить.

Настройка разрешений сборника схем для инцидентов в мультитенантном развертывании

Если в мультитенантном развертывании сборник схем, который вы хотите запустить, находится в другом клиенте, необходимо предоставить учетной записи службы Microsoft Sentinel разрешение на запуск сборника схем в клиенте сборника схем.

1. В меню навигации Microsoft Sentinel в клиенте сборников схем выберите Параметры.

2. На странице Параметры выберите вкладку Параметры , а затем расширитель разрешений сборника схем .

3. Нажмите кнопку Настроить разрешения, чтобы открыть панель Управление разрешениями .

4. Пометьте поля проверка групп ресурсов, содержащих сборники схем, которые вы хотите запустить, и нажмите кнопку Применить. Например, вы можете:

   

Вы сами должны иметь разрешения владельца для любой группы ресурсов, которой вы хотите предоставить Microsoft Sentinel разрешения, и у вас должна быть роль оператора сборника схем Microsoft Sentinel для любой группы ресурсов, содержащей сборники схем, которые вы хотите запустить.

Если в сценарии MSSP требуется запустить сборник схем в клиенте клиента из правила автоматизации, созданного при входе в клиент поставщика услуг, необходимо предоставить Microsoft Sentinel разрешение на запуск сборника схем в обоих клиентах:

• В клиенте клиента следуйте стандартным инструкциям для мультитенантного развертывания.

• В клиенте поставщика услуг добавьте приложение Azure Security Insights в шаблон подключения Azure Lighthouse следующим образом:

  1. В портал Azure перейдите к Microsoft Entra ID и выберите Корпоративные приложения.
  2. Выберите Тип приложения и отфильтруйте в разделе Приложения Майкрософт.
  3. В поле поиска введите Azure Security Insights.
  4. Скопируйте поле Идентификатор объекта . Необходимо добавить эту дополнительную авторизацию в существующее делегирование Azure Lighthouse.

Роль участника службы автоматизации Microsoft Sentinel имеет фиксированный ИДЕНТИФИКАТОР GUID f4c81013-99ee-4d62-a7ee-b3f1f648599a. Пример Azure авторизации Lighthouse будет выглядеть следующим образом в шаблоне параметров:

{
"principalId": "<Enter the Azure Security Insights app Object ID>", 
"roleDefinitionId": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
"principalIdDisplayName": "Microsoft Sentinel Automation Contributors" 
}

Автоматизация реагирования на инциденты и оповещения

Чтобы автоматически реагировать на все инциденты или отдельные оповещения с помощью сборника схем, создайте правило автоматизации, которое выполняется при создании или обновлении инцидента или при создании оповещения. Это правило автоматизации включает шаг, который вызывает сборник схем, который вы хотите использовать.

Чтобы создать правило автоматизации, выполните приведенные далее действия.

1. На странице Автоматизация в меню навигации Microsoft Sentinel выберите Создать в верхнем меню, а затем — Правило автоматизации. Например, вы можете:

   

2. Откроется панель Создание нового правила автоматизации . Введите имя правила. Параметры зависят от того, подключена ли рабочая область к порталу Microsoft Defender. Например, вы можете:

   • Подключенные рабочие области
   • Рабочие области, которые не подключены

   

3. Триггер: Выберите соответствующий триггер в соответствии с обстоятельствами, для которых создается правило автоматизации: при создании инцидента, при обновлении инцидента или при создании оповещения.

4. Условия:

   1. Если рабочая область еще не подключена к порталу Defender, инциденты могут иметь два возможных источника:

      • Инциденты можно создавать внутри Microsoft Sentinel
      • Инциденты можно импортировать из и синхронизировать с Microsoft Defender XDR.

      Если вы выбрали один из триггеров инцидентов и хотите, чтобы правило автоматизации действовало только для инцидентов, исходных в Microsoft Sentinel или в Microsoft Defender XDR, укажите источник в условии Если поставщик инцидентов равен.

      Это условие отображается только в том случае, если выбран триггер инцидента и ваша рабочая область не подключена к порталу Defender.

   2. Для всех типов триггеров, если требуется, чтобы правило автоматизации действовало только в определенных правилах аналитики, укажите, какие из них, изменив имя правила Аналитики содержит условие .

   3. Добавьте любые другие условия, которые будут определять, выполняется ли это правило автоматизации. Выберите + Добавить и выберите условия или группы условий в раскрывающемся списке. Список условий заполняется полями сведений об оповещении и идентификатора сущности.

5. Действия:

   1. Так как вы используете это правило автоматизации для запуска сборника схем, выберите действие Запустить сборник схем в раскрывающемся списке. После этого вам будет предложено выбрать из второго раскрывающегося списка доступные сборники схем. Правило автоматизации может запускать только те сборники схем, которые начинаются с того же триггера (инцидента или оповещения), что и триггер, определенный в правиле, поэтому в списке отображаются только те сборники схем.

      Если сборник схем отображается серым цветом в раскрывающемся списке, это означает, что Microsoft Sentinel не имеет разрешения на группу ресурсов этого сборника схем. Щелкните ссылку Управление разрешениями сборника схем , чтобы назначить разрешения.

      На открывающейся панели Управление разрешениями пометьте поля проверка групп ресурсов, содержащих сборники схем, которые вы хотите запустить, и нажмите кнопку Применить. Например, вы можете:

      

      Вы сами должны иметь разрешения владельца для любой группы ресурсов, которой вы хотите предоставить Microsoft Sentinel разрешения, и у вас должна быть роль оператора сборника схем Microsoft Sentinel для любой группы ресурсов, содержащей сборники схем, которые вы хотите запустить.

      Дополнительные сведения см. в разделе Дополнительные разрешения, необходимые для запуска сборников схем для инцидентов.

   2. Добавьте другие действия для этого правила. Вы можете изменить порядок выполнения действий, щелкнув стрелки вверх или вниз справа от любого действия.

6. Задайте дату окончания срока действия для правила автоматизации, если вы хотите, чтобы оно было.

7. Введите число в поле Order , чтобы определить, где в последовательности правил автоматизации выполняется это правило.

8. Нажмите кнопку Применить , чтобы завершить автоматизацию.

Дополнительные сведения см. в статье Создание сборников схем Microsoft Sentinel и управление ими.

Реагирование на оповещения — устаревший метод

Другой способ автоматического запуска сборников схем в ответ на оповещения — вызвать их из правила аналитики. Когда правило создает оповещение, запускается сборник схем.

Этот метод будет нерекомендуем с марта 2026 г.

Начиная с июня 2023 г. вы больше не сможете добавлять сборники схем в правила аналитики таким образом. Тем не менее, вы по-прежнему можете видеть существующие сборники схем, вызываемого из правил аналитики, и эти сборники схем по-прежнему будут работать до марта 2026 года. Мы настоятельно рекомендуем создать правила автоматизации для вызова этих сборников схем .

Запуск сборника схем вручную по запросу

Вы также можете вручную запустить сборник схем по запросу, будь то в ответ на оповещения, инциденты или сущности. Это может быть полезно в ситуациях, когда требуется больше человеческого участия в процессах оркестрации и реагирования и контроля над ней.

Запуск сборника схем вручную в оповещении

Эта процедура не поддерживается на портале Defender.

В портал Azure выберите одну из следующих вкладок для вашей среды:

Журнал выполнения для сборников схем можно просмотреть в оповещении, выбрав вкладку Запуски в области Сборники схем оповещений . Любое только что завершенное выполнение может занять несколько секунд, чтобы появиться в списке. При выборе конкретного запуска открывается журнал полного выполнения в Logic Apps.

Запуск сборника схем вручную при инциденте

Эта процедура зависит от того, работаете ли вы в портал Azure или на портале Defender. Выберите соответствующую вкладку для своей среды:

Просмотрите журнал выполнения для сборников схем для инцидента, выбрав вкладку Запуски на панели "Запуск" на панели инцидентов . Любое только что завершенное выполнение может занять несколько секунд, чтобы появиться в списке. При выборе конкретного запуска открывается журнал полного выполнения в Logic Apps.

Запуск сборника схем вручную для сущности

Эта процедура не поддерживается на портале Defender.

Выберите сущность одним из следующих способов в зависимости от исходного контекста:

Независимо от контекста, из который вы пришли, последний шаг в этой процедуре выполняется из панели Запуск сборника схем для <типа> сущности. На этой панели отображается список всех сборников схем, к которым у вас есть доступ, настроенных с помощью триггера Microsoft Sentinel Entity Logic Apps для выбранного типа сущности.

В области *Запуск сборника схем для <типа> сущности выберите вкладку Запуски, чтобы просмотреть журнал выполнения сборника схем для заданной сущности. Любое только что завершенное выполнение может занять несколько секунд, чтобы появиться в списке. При выборе конкретного запуска открывается журнал полного выполнения в Logic Apps.

Связанные материалы

Дополнительные сведения см. в разделе:

• Создание сборников схем Microsoft Sentinel и управление ими
• Автоматизация реагирования на угрозы в Microsoft Sentinel с помощью правил автоматизации