Создание собственных инцидентов вручную в Microsoft Sentinel в портал Azure

Благодаря Microsoft Sentinel в качестве решения для управления информационной безопасностью и событиями безопасности (SIEM), действия по обнаружению угроз и реагированию на них сосредоточены на инцидентах, которые вы исследуете и устраняете. Эти инциденты имеют два основных источника:

• Они создаются автоматически, когда механизмы обнаружения работают с журналами и оповещениями, которые Microsoft Sentinel приема из подключенных источников данных.

• Они получаются непосредственно из других подключенных служб безопасности Майкрософт (например, Microsoft Defender XDR), которые их создали.

Однако данные об угрозах также могут поступать из других источников, не попадающих в Microsoft Sentinel, или событий, не записанных ни в одном журнале, и тем не менее могут оправдать открытие исследования. Например, сотрудник может заметить, что неизвестный человек занимается подозрительной деятельностью, связанной с информационными ресурсами вашей организации. Этот сотрудник может позвонить или отправить по электронной почте в центр управления безопасностью (SOC), чтобы сообщить о действиях.

Microsoft Sentinel в портал Azure позволяет аналитикам безопасности вручную создавать инциденты для любого типа событий, независимо от их источника или данных, чтобы вы не упустили возможность исследовать эти необычные типы угроз.

Основные варианты использования

Создание инцидента для сообщаемого события

Это сценарий, описанный во введении выше.

Создание инцидентов из событий из внешних систем

Создавайте инциденты на основе событий из систем, журналы которых не попадали в Microsoft Sentinel. Например, фишинговая кампания на основе SMS может использовать корпоративную фирменную символику и темы вашей организации для личных мобильных устройств сотрудников. Вам может потребоваться расследовать такую атаку и создать инцидент в Microsoft Sentinel, чтобы у вас была платформа для управления расследованием, сбора и регистрации доказательств, а также для записи действий по реагированию и устранению последствий.

Создание инцидентов на основе результатов охоты

Создавайте инциденты на основе наблюдаемых результатов охотничьей деятельности. Например, во время охоты на угрозы в контексте конкретного расследования (или самостоятельно) вы можете столкнуться с доказательствами совершенно несвязанной угрозы, которая требует отдельного расследования.

Создание инцидента вручную

Существует три способа создания инцидента вручную:

• Создание инцидента с помощью портал Azure
• Создайте инцидент с помощью Azure Logic Apps с помощью триггера инцидента Microsoft Sentinel.
• Создайте инцидент с помощью API Microsoft Sentinel с помощью группы операций Инциденты. Она позволяет получать, создавать, обновлять и удалять инциденты.

После подключения Microsoft Sentinel к порталу Microsoft Defender созданные вручную инциденты не синхронизируются с порталом Defender, хотя их по-прежнему можно просматривать и управлять ими в Microsoft Sentinel в портал Azure, а также с помощью Logic Apps и API.

Разрешения

Для создания инцидента вручную требуются следующие роли и разрешения.

Дополнительные сведения о ролях в Microsoft Sentinel.

Создание инцидента с помощью портал Azure

1. Выберите Microsoft Sentinel и выберите рабочую область.

2. В меню навигации Microsoft Sentinel выберите Инциденты.

3. На странице Инциденты выберите + Создать инцидент (предварительная версия) на панели кнопок.

   

   В правой части экрана откроется панель Создание инцидента (предварительная версия ).

   

4. Заполните поля на панели соответствующим образом.

   • Title

     • Введите название инцидента по своему выбору. Инцидент появится в очереди с таким заголовком.
     • Обязательно. Бесплатный текст неограниченной длины. Пробелы будут обрезаны.

   • Описание

     • Введите описательную информацию об инциденте, включая такие сведения, как источник инцидента, все задействованные сущности, связь с другими событиями, сведения о том, кто был проинформирован и т. д.
     • Необязательный параметр. Бесплатный текст до 5000 символов.

   • Серьезность

     • Выберите уровень серьезности в раскрывающемся списке. Доступны все уровни серьезности, поддерживаемые Microsoft Sentinel.
     • Обязательно. По умолчанию используется значение "Средний".

   • Состояние

     • Выберите состояние в раскрывающемся списке. Доступны все состояния, поддерживаемые Microsoft Sentinel.
     • Обязательно. Значение по умолчанию — "Создать".
     • Вы можете создать инцидент со статусом "закрыт", а затем открыть его вручную, чтобы внести изменения и выбрать другое состояние. Если выбрать "закрыто" в раскрывающемся списке, вы активируете поля причин классификации , чтобы выбрать причину закрытия инцидента и добавить примечания.

   • Owner

     • Выберите один из доступных пользователей или групп в клиенте. Начните вводить имя для поиска пользователей и групп. Выберите поле (щелкните или коснитесь), чтобы отобразить список предложений. Выберите "назначить мне" в верхней части списка, чтобы назначить инцидент себе.
     • Необязательный параметр.

   • Tags

     • Используйте теги для классификации инцидентов, а также для фильтрации и их поиска в очереди.
     • Создайте теги, щелкнув значок "плюс", введя текст в диалоговом окне и нажав кнопку ОК. Автоматическое завершение будет предлагать теги, используемые в рабочей области в течение предыдущих двух недель.
     • Необязательный параметр. Бесплатный текст.

5. Выберите Создать в нижней части панели. Через несколько секунд инцидент будет создан и появится в очереди инцидентов.

   Если присвоить инциденту состояние "Закрыто", он не будет отображаться в очереди, пока вы не измените фильтр состояния , чтобы отобразить закрытые инциденты. Фильтр по умолчанию задается для отображения только инцидентов со статусом "Новый" или "Активный".

Выберите инцидент в очереди, чтобы просмотреть его полные сведения, добавить закладки, изменить владельца и состояние и многое другое.

Если по какой-либо причине вы изменили свое мнение после того, как вы создали инцидент, вы можете удалить его из сетки очередей или из самого инцидента. Чтобы удалить инцидент, необходимо иметь роль участника Microsoft Sentinel.

Создание инцидента с помощью Azure Logic Apps

Создание инцидента также доступно как действие Logic Apps в соединителе Microsoft Sentinel и, следовательно, в Microsoft Sentinel сборниках схем.

Действие Создать инцидент (предварительная версия) можно найти в схеме сборника схем для триггера инцидента.

Необходимо указать параметры, как описано ниже.

• Выберите подписку, группу ресурсов и имя рабочей области в соответствующих раскрывающихся списках.

• Остальные поля см. в пояснениях выше (в разделе Создание инцидента с помощью портал Azure).

  

Microsoft Sentinel предоставляет некоторые примеры шаблонов сборников схем, в которые показано, как работать с этой возможностью:

• Создание инцидента с помощью Microsoft Form
• Создание инцидента из общего почтового ящика

Их можно найти в коллекции шаблонов сборников схем на странице автоматизации Microsoft Sentinel.

Создание инцидента с помощью API Microsoft Sentinel

Группа операций Инциденты позволяет не только создавать, но и обновлять (редактировать),получать (извлекать),перечислять и удалять инциденты.

Инцидент создается с помощью следующей конечной точки. После выполнения этого запроса инцидент будет виден в очереди инцидентов на портале.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

Ниже приведен пример того, как может выглядеть текст запроса:

{
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "IncorrectAlertLogic",
    "status": "Closed"
  }
}

Примечания

• Инциденты, созданные вручную, не содержат сущностей или оповещений. Таким образом, вкладка Оповещения на странице инцидента будет оставаться пустой, пока вы не свядите существующие оповещения с инцидентом.

  Вкладка Сущности также останется пустой, так как добавление сущностей непосредственно в созданные вручную инциденты в настоящее время не поддерживается. (Если вы связываете оповещение с этим инцидентом, сущности из оповещения будут отображаться в инциденте.)

• Созданные вручную инциденты также не будут отображать название продукта в очереди.

• Очередь инцидентов фильтруется по умолчанию для отображения только инцидентов со статусом "Новый" или "Активный". Если создать инцидент со статусом "Закрыт", он не будет отображаться в очереди, пока вы не измените фильтр состояния, чтобы отобразить закрытые инциденты.

Дальнейшие действия

Дополнительные сведения см. в указанных ниже статьях.

• Связывание оповещений с инцидентами в Microsoft Sentinel
• Удаление инцидентов в Microsoft Sentinel
• Навигация, рассмотрение и управление инцидентами Microsoft Sentinel
• Подробное исследование инцидентов Microsoft Sentinel