Создавайте и настраивайте сценарии Microsoft Sentinel из шаблонов

Шаблон сборника схем — это предварительно созданный, протестированный и готовый к использованию рабочий процесс автоматизации для Microsoft Sentinel, который можно настроить в соответствии с вашими потребностями. Шаблоны также могут служить справочным материалом для рекомендаций при разработке сборников схем с нуля или вдохновением для новых сценариев автоматизации.

Шаблоны плейбуков сами по себе не являются активными плейбуками, и для своих задач необходимо создать редактируемую копию.

Многие шаблоны сборников схем разрабатываются сообществом Microsoft Sentinel, независимыми поставщиками программного обеспечения (ISV) и собственными экспертами Майкрософт на основе популярных сценариев автоматизации, используемых центрами безопасности по всему миру.

Предварительные условия

Для создания сборников схем и управления ими необходим доступ к Microsoft Sentinel с одной из следующих Azure ролей:

• Участник Logic Apps для редактирования логических приложений и управления ими
• Оператор приложения логики для чтения, включения и отключения приложений логики

Дополнительные сведения см. в разделе Предварительные требования к сборнику схем Microsoft Sentinel.

Мы рекомендуем прочитать статью Сценарии Microsoft Sentinel в Azure Logic Apps перед созданием собственного сценария.

Доступ к шаблонам плейбуков

Получите доступ к шаблонам сборника схем из следующих источников:

С технической точки зрения шаблон сценария — это шаблон Azure Resource Manager (ARM), который включает несколько ресурсов: рабочий процесс Azure Logic Apps и подключения API для каждого используемого соединения.

Следующая процедура направлена на развертывание шаблона плейбука со вкладки шаблонов плейбука в разделе Автоматизация.

Просмотреть шаблоны сценариев

Для Microsoft Sentinel в портале Azure выберите страницу Управление содержимым>Центр содержимого. Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Управление содержимым>Центр содержимого.

На странице Центр содержимого выберите Тип содержимого, чтобы отфильтровать по значению Сборник сценариев. Отфильтрованная страница Content hub содержит список всех решений и отдельного контента, включающего один или несколько шаблонов плейбуков. Установите решение или автономное содержимое, чтобы получить шаблон.

Чтобы просмотреть установленные шаблоны, выберите вкладку Конфигурация>Автоматизация>Шаблоны плейбуков. Например:

Чтобы найти шаблон сборника схем, соответствующий вашим требованиям, отфильтруйте список по следующим критериям:

Например, вы можете:

Настройте сценарий по шаблону

Следующие шаги описывают, как внедрять шаблоны плейбуков, и их можно повторять для создания нескольких плейбуков из одного шаблона.

Хотя большинство шаблонов сборников схем можно использовать как есть, мы рекомендуем настроить их по мере необходимости, чтобы обеспечить соответствие сборника схем требованиям SOC.

1. На вкладке Шаблоны плейбуков выберите плейбук, с которого хотите начать.

2. Если в сборнике схем есть какие-либо предварительные требования, обязательно следуйте инструкциям. Например, вы можете:

   • Некоторые плейбуки вызывают другие плейбуки в качестве действий. Называемый плейбук называется вложенным плейбуком. В этом случае одним из предварительных требований является развертывание вложенного сборника схем.

   • Для некоторых сценариев автоматизации необходимо развернуть настраиваемый соединитель Logic Apps или функцию Azure. В таких случаях есть ссылка Развертывание в Azure, которая позволяет перейти к общему процессу развертывания шаблона ARM.

3. Выберите Создать сборник схем , чтобы открыть мастер создания сборника схем на основе выбранного шаблона. Мастер имеет четыре вкладки:

   • Основы: Найдите новый сборник схем, который является ресурсом Logic Apps, и присвойте ему имя. Можно использовать значение по умолчанию. Например, вы можете:

     

   • Параметры: Введите значения, специфичные для клиента, которые использует плейбук. Например, если сборник схем отправляет электронное письмо в SOC, определите адрес получателя. Если в сборнике схем используется настраиваемый соединитель, он должен быть развернут в той же группе ресурсов, и вам будет предложено ввести его имя на вкладке Параметры .

     Вкладка Параметры отображается только в том случае, если в сборнике схем есть параметры. Например, вы можете:

     

   • Соединения: Разверните каждое действие, чтобы просмотреть существующие соединения, созданные для предыдущих сценариев. Вы можете использовать существующие подключения или создать новое. Например, вы можете:

     

     • Чтобы создать новое подключение, выберите Создать подключение после развертывания. Опция «Создать новое соединение после развертывания» перенаправляет вас к дизайнеру Logic Apps после завершения процесса развертывания.

     • Настраиваемые соединители перечислены по имени настраиваемого соединителя, введенного на вкладке Параметры .

     • Для соединителей, поддерживающих подключение с помощью управляемого удостоверения, например Microsoft Sentinel, управляемое удостоверение является методом подключения по умолчанию.

     Дополнительные сведения см. в разделе Проверка подлинности сборников схем для Microsoft Sentinel.

   • Просмотр и создание: Просмотрите сводку процесса и дождитесь проверки входных данных перед созданием сборника схем.

4. После выполнения всех шагов мастера создания сценария вы попадете в конструктор Logic Apps, где откроется структура рабочего процесса нового сценария. Например, вы можете:

   

5. Для каждого соединителя, для которого выбрано создать новое подключение после развертывания, создайте подключение:

   1. В меню навигации выберите Подключения API , а затем выберите имя подключения. Например, вы можете:

      

   2. Выберите Изменить подключение API в меню навигации.

   3. Введите необходимые параметры и нажмите кнопку Сохранить. Например, вы можете:

      

   Кроме того, создайте новое подключение из соответствующих шагов в конструкторе Logic Apps:

   1. Для каждого шага, который отображается со значком ошибки, выберите его, чтобы развернуть, а затем выберите Добавить новый.

   2. Проверка подлинности в соответствии с соответствующими инструкциями. Дополнительные сведения см. в разделе Проверка подлинности сборников схем для Microsoft Sentinel.

   3. Если есть другие шаги, использующие этот соединитель, разверните их поля. В появившемся списке подключений выберите только что созданное соединение.

6. Если вы решили использовать подключение с управляемым удостоверением для Microsoft Sentinel или других поддерживаемых подключений, обязательно назначьте новому плейбуку необходимые разрешения для рабочей области Microsoft Sentinel или для соответствующих целевых ресурсов других коннекторов.

7. Сохраните сборник схем. Сценарий отображается на вкладке Активные сценарии.

Чтобы запустить сборник схем, настройте автоматический ответ или запустите его вручную. Дополнительные сведения см. в статье Реагирование на угрозы с помощью сценариев Microsoft Sentinel.

Сообщить о проблеме в шаблоне плейбука

Чтобы сообщить об ошибке или запросить улучшение для сборника схем, выберите ссылку Поддерживается в области сведений о сборнике схем. Если плейбук поддерживается сообществом, ссылка ведёт вас на страницу создания issue в GitHub. В противном случае вы будете перенаправлены на страницу сторонника с информацией о том, как отправить свой отзыв.

Связанные материалы

• Автоматизация реагирования на угрозы с помощью сборников схем Microsoft Sentinel
• Рекомендуемые шаблоны сценариев
• Автоматизируйте и запускайте сценарии автоматизации Microsoft Sentinel