Создание и настройка сборников схем Microsoft Sentinel на основе шаблонов

Шаблон сборника схем — это предварительно созданный, протестированный и готовый к использованию рабочий процесс автоматизации для Microsoft Sentinel, который можно настроить в соответствии с вашими потребностями. Шаблоны также могут служить справочным материалом для рекомендаций при разработке сборников схем с нуля или вдохновением для новых сценариев автоматизации.

Шаблоны сборников схем сами по себе не являются активными, и вам необходимо создать редактируемую копию в соответствии с вашими потребностями.

Многие шаблоны сборников схем разрабатываются сообществом Microsoft Sentinel, независимыми поставщиками программного обеспечения (ISV) и собственными экспертами Майкрософт на основе популярных сценариев автоматизации, используемых центрами безопасности по всему миру.

Предварительные условия

Для создания сборников схем и управления ими необходим доступ к Microsoft Sentinel с одной из следующих Azure ролей:

• Участник приложения логики для редактирования приложений логики и управления ими
• Оператор Приложения логики для чтения, включения и отключения приложений логики

Дополнительные сведения см. в разделе Предварительные требования к сборнику схем Microsoft Sentinel.

Перед созданием сборника схем рекомендуется прочитать Azure Logic Apps для Microsoft Sentinel сборников схем.

Доступ к шаблонам сборников схем

Получите доступ к шаблонам сборника схем из следующих источников:

Технически шаблон сборника схем представляет собой шаблон Azure Resource Manager (ARM), который состоит из нескольких ресурсов: рабочего процесса Azure Logic Apps и подключений API для каждого задействованного подключения.

Эта статья посвящена развертыванию шаблона сборника схем на вкладке Шаблоны сборника схем в разделе Автоматизация.

Изучение шаблонов сборников схем

Для Microsoft Sentinel в портал Azure выберите страницу Центр содержимого управления>содержимым. Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Центр содержимого управления> Клиентами.

На странице Центр содержимого выберите Тип контента , чтобы отфильтровать сборник схем. В этом отфильтрованном представлении перечислены все решения и автономное содержимое, включающее один или несколько шаблонов сборников схем. Установите решение или автономное содержимое, чтобы получить шаблон.

Затем перейдите на вкладкуШаблоны сборника схемслужбы автоматизации>конфигурации>, чтобы просмотреть установленные шаблоны. Например, вы можете:

Чтобы найти шаблон сборника схем, соответствующий вашим требованиям, отфильтруйте список по следующим критериям:

Например, вы можете:

Настройка сборника схем на основе шаблона

В этой процедуре описывается развертывание шаблонов сборников схем, и ее можно повторить, чтобы создать несколько сборников схем из одного шаблона.

Хотя большинство шаблонов сборников схем можно использовать как есть, мы рекомендуем настроить их по мере необходимости, чтобы обеспечить соответствие сборника схем требованиям SOC.

1. На вкладке Шаблоны сборников схем выберите сборник схем для начала.

2. Если в сборнике схем есть какие-либо предварительные требования, обязательно следуйте инструкциям. Например, вы можете:

   • Некоторые сборники схем называют другие сборники схем действиями. Этот второй сборник схем называется вложенным сборником схем. В этом случае одним из предварительных требований является развертывание вложенного сборника схем.

   • Для некоторых сборников схем требуется развернуть пользовательский соединитель Logic Apps или функцию Azure. В таких случаях есть ссылка Развертывание в Azure, которая позволяет перейти к общему процессу развертывания шаблона ARM.

3. Выберите Создать сборник схем , чтобы открыть мастер создания сборника схем на основе выбранного шаблона. Мастер имеет четыре вкладки:

   • Основы: Найдите новый сборник схем, который является ресурсом Logic Apps, и присвойте ему имя. Можно использовать значение по умолчанию. Например, вы можете:

     

   • Параметры: Введите пользовательские значения, которые используются в сборнике схем. Например, если сборник схем отправляет электронное письмо в SOC, определите адрес получателя. Если в сборнике схем используется настраиваемый соединитель, он должен быть развернут в той же группе ресурсов, и вам будет предложено ввести его имя на вкладке Параметры .

     Вкладка Параметры отображается только в том случае, если в сборнике схем есть параметры. Например, вы можете:

     

   • Соединения: Разверните каждое действие, чтобы просмотреть существующие подключения, созданные для предыдущих сборников схем. Вы можете использовать существующие подключения или создать новое. Например, вы можете:

     

     • Чтобы создать новое подключение, выберите Создать подключение после развертывания. После завершения процесса развертывания вы перейдете к конструктору Logic Apps.

     • Настраиваемые соединители перечислены по имени настраиваемого соединителя, введенного на вкладке Параметры .

     • Для соединителей, поддерживающих подключение с помощью управляемого удостоверения, например Microsoft Sentinel, управляемое удостоверение является методом подключения по умолчанию.

     Дополнительные сведения см. в разделе Проверка подлинности сборников схем для Microsoft Sentinel.

   • Просмотр и создание: Просмотрите сводку процесса и дождитесь проверки входных данных перед созданием сборника схем.

4. После завершения работы мастера создания сборника схем вы перейдете к проектированию рабочего процесса нового сборника схем в конструкторе Logic Apps. Например, вы можете:

   

5. Для каждого выбранного соединителя создайте новое подключение после развертывания:

   1. В меню навигации выберите Подключения API , а затем выберите имя подключения. Например, вы можете:

      

   2. Выберите Изменить подключение API в меню навигации.

   3. Введите необходимые параметры и нажмите кнопку Сохранить. Например, вы можете:

      

   Кроме того, создайте новое подключение из соответствующих шагов в конструкторе Logic Apps:

   1. Для каждого шага, который отображается со знаком ошибки, выберите его, чтобы развернуть, а затем нажмите кнопку Добавить.

   2. Проверка подлинности в соответствии с соответствующими инструкциями. Дополнительные сведения см. в разделе Проверка подлинности сборников схем для Microsoft Sentinel.

   3. Если есть другие шаги, использующие этот соединитель, разверните их поля. В появившемся списке подключений выберите только что созданное соединение.

6. Если вы решили использовать подключение управляемого удостоверения для Microsoft Sentinel или для других поддерживаемых подключений, обязательно предоставьте разрешения новому сборнику схем в рабочей области Microsoft Sentinel или в соответствующих целевых ресурсах для других соединителей.

7. Сохраните сборник схем. Сборник схем отображается на вкладке Активные сборники схем .

Чтобы запустить сборник схем, настройте автоматический ответ или запустите его вручную. Дополнительные сведения см. в статье Реагирование на угрозы с помощью Microsoft Sentinel сборников схем.

Сообщение о проблеме в шаблоне сборника схем

Чтобы сообщить об ошибке или запросить улучшение для сборника схем, выберите ссылку Поддерживается в области сведений о сборнике схем. Если это поддерживаемый сообществом сборник схем, ссылка позволяет открыть проблему GitHub. В противном случае вы будете перенаправлены на страницу сторонника с информацией о том, как отправить свой отзыв.

Связанные материалы

• Автоматизация реагирования на угрозы с помощью сборников схем Microsoft Sentinel
• Рекомендуемые шаблоны сборников схем
• Автоматизация и запуск сборников схем Microsoft Sentinel