Создавайте и настраивайте плейбуки Microsoft Sentinel из шаблонов

Шаблон сборника схем — это предварительно созданный, тестируемый и готовый рабочий процесс автоматизации для Microsoft Sentinel, который можно настроить в соответствии с вашими потребностями. Шаблон также может служить как справочник с рекомендациями при разработке сборника схем с нуля или как источник идей для новых сценариев автоматизации.

Шаблоны плейбуков сами по себе не являются активными плейбуками, и для своих нужд необходимо создать редактируемую копию.

Многие шаблоны сборников схем разрабатываются сообществом Microsoft Sentinel, независимыми поставщиками программного обеспечения (ISV) и собственными экспертами Майкрософт на основе популярных сценариев автоматизации, используемых центрами безопасности по всему миру.

Предварительные требования

Чтобы создавать сборники схем и управлять ими, вам потребуется доступ к Microsoft Sentinel с одной из следующих ролей Azure:

• Сотрудник приложения Logic App для редактирования и управления приложениями логики
• Оператор логического приложения для чтения, включения и отключения логических приложений

Дополнительные сведения см. в статье о предварительных требованиях сборника схем Microsoft Sentinel.

Перед созданием вашего плейбука мы рекомендуем прочитать плейбуки Azure Logic Apps для Microsoft Sentinel.

Доступ к шаблонам плейбуков

Получите доступ к шаблонам плейбуков из следующих источников:

Технически шаблон сценария — это шаблон Azure Resource Manager (ARM), который состоит из нескольких ресурсов: рабочий процесс Azure Logic Apps и подключений API для каждого соединения.

В этой статье рассматривается развертывание шаблона плейбука на вкладке шаблонов плейбуков на вкладке Автоматизация.

Исследуйте шаблоны плейбуков

Для Microsoft Sentinel на портале Azure выберите страницуцентра содержимого управления >содержимым. Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Управление содержимым>Центр содержимого.

На странице "Центр контента" выберите тип контента, чтобы отфильтровать Плейбук. В этом отфильтрованном представлении перечислены все решения и самостоятельное содержимое, включающее один или несколько шаблонов плейбука. Установите решение или автономное содержимое, чтобы получить шаблон.

Затем выберите вкладку Конфигурация>Автоматизация>Шаблоны плейбуков, чтобы просмотреть установленные шаблоны. Например:

Чтобы найти шаблон сборника схем, соответствующий вашим требованиям, отфильтруйте список по следующим критериям:

Например:

Настройте плейбук из шаблона

В этой процедуре описывается, как развертывать шаблоны плейбуков, и ее можно повторять для создания нескольких плейбуков на основе одного шаблона.

Хотя большинство шаблонов плэйбуков можно использовать в их текущем виде, мы рекомендуем настроить их так, чтобы они соответствовали вашим требованиям SOC.

1. На вкладке шаблоны плейбуков выберите плейбук, с которого хотите начать.

2. Если у плейбука имеются предварительные требования, обязательно следуйте инструкциям. Например:

   • Некоторые сценарии автоматизации вызывают другие сценарии автоматизации в качестве действий. Этот второй план действий называется вложенным планом действий. В таком случае один из предварительных требований — сначала развернуть вложенный сборник схем.

   • Для некоторых плейбуков требуется развертывание пользовательского коннектора Logic Apps или функции Azure. В таких случаях существует ссылка "Развертывание в Azure ", которая позволяет перейти к общему процессу развертывания шаблона ARM.

3. Выберите "Создать сборник схем ", чтобы открыть мастер создания сборника схем на основе выбранного шаблона. Мастер содержит четыре вкладки:

   • Основные: Найдите новый сборник схем, который является ресурсом Logic Apps, и присвойте ему имя. Можно использовать значение по умолчанию. Например:

     

   • Параметры: Введите значения для конкретного клиента, которые использует сценарий действий. Например, если сборник схем отправляет сообщение электронной почты в SOC, определите адрес получателя. Если в плейбуке используется настраиваемый соединитель, его необходимо развернуть в той же группе ресурсов. Впоследствии вам потребуется ввести его имя на вкладке Параметры.

     Вкладка "Параметры" отображается только в том случае, если сборник схем имеет параметры. Например:

     

   • Связи: Разверните каждое действие, чтобы просмотреть существующие подключения, созданные для предыдущих плейбуков. Вы можете использовать существующие подключения или создать новый. Например:

     

     • Чтобы создать новое подключение, нажмите кнопку "Создать новое подключение" после развертывания. Этот параметр переводит вас в конструктор Logic Apps после завершения процесса развертывания.

     • Настраиваемые соединители перечислены по имени настраиваемого соединителя, введенного на вкладке "Параметры ".

     • Для соединителей, поддерживающих подключение к управляемому удостоверению, например Microsoft Sentinel, управляемое удостоверение является методом подключения по умолчанию.

     Дополнительные сведения см. в аутентификации плейбуков для Microsoft Sentinel.

   • Проверка и создание: Просмотрите сводку процесса и дождитесь проверки входных данных перед созданием сборника схем.

4. Выполнив действия мастера создания плейбука до конца, вы перейдете к конструированию рабочего процесса нового плейбука в Logic Apps designer. Например:

   

5. Для каждого выбранного соединителя создайте новое подключение после развертывания:

   1. В меню навигации выберите подключения API и выберите имя подключения. Например:

      

   2. Выберите "Изменить подключение API" в меню навигации.

   3. Введите необходимые параметры и нажмите кнопку "Сохранить". Например:

      

   Кроме того, создайте новое подключение из соответствующих шагов в конструкторе Logic Apps:

   1. Для каждого шага, отображающегося с знаком ошибки, выберите его, чтобы развернуть, а затем нажмите кнопку "Добавить".

   2. Выполните проверку подлинности, следуя соответствующим инструкциям. Дополнительные сведения см. в аутентификации плейбуков для Microsoft Sentinel.

   3. При наличии других шагов, использующих этот соединитель, разверните их поля. В появившемся списке подключений выберите только что созданное подключение.

6. Если вы решили использовать подключение с управляемой идентификацией для Microsoft Sentinel или других поддерживаемых подключений, обязательно предоставьте разрешения новому плейбуку в рабочей области Microsoft Sentinel или на соответствующих целевых ресурсах для других коннекторов.

7. Сохраните сборник схем. Сборник сценариев появляется на вкладке Активные сборники сценариев.

Чтобы запустить сборник схем, задайте автоматический ответ или запустите его вручную. Дополнительные сведения см. в статье "Реагирование на угрозы" с помощью сборников схем Microsoft Sentinel.

Сообщите о проблеме в шаблоне плейбука

Чтобы сообщить об ошибке или запросить улучшение сборника схем, выберите ссылку "Поддерживается " в области сведений сборника схем. Если это сборник схем, поддерживаемый сообществом, ссылка позволяет открыть проблему GitHub. В противном случае вы направляетесь на страницу сторонника с информацией о том, как отправить отзыв.

Связанный контент

• Автоматизация реагирования на угрозы с помощью сборников схем Microsoft Sentinel
• Рекомендуемые шаблоны сценариев
• Автоматизация и запуск плейбуков Microsoft Sentinel