Создание задач инцидентов в Microsoft Sentinel с помощью правил автоматизации

В этой статье объясняется, как использовать правила автоматизации для создания списков задач инцидентов, чтобы стандартизировать процессы рабочего процесса аналитика в Microsoft Sentinel.

Задачи инцидента можно создавать не только автоматически с помощью правил автоматизации и плейбуков, но и вручную, по мере необходимости, непосредственно из инцидента.

Сценарии использования для разных ролей

В этой статье рассматриваются следующие сценарии, которые применяются к руководителям SOC, старшим аналитикам и инженерам автоматизации.

• Просмотреть правила автоматизации с действиями для задач инцидента
• Добавление задач в инциденты с помощью правил автоматизации

Сценарий добавления задач к инцидентам с плейбуками рассматривается в следующей сопутствующей статье:

• Добавляйте задачи в инциденты с помощью сценариев

Статья «Работа с задачами» рассматривает следующие сценарии, которые больше подходят аналитикам SOC:

• Просматривайте и отслеживайте задачи инцидента
• Вручную добавить специальную задачу в инцидент

Предварительные условия

Роль ответчика Microsoft Sentinel необходима для создания правил автоматизации, а также для просмотра и изменения инцидентов, которые необходимы для добавления, просмотра и изменения задач.

Просмотр правил автоматизации с действиями для задач инцидента

На странице Автоматизация можно отфильтровать представление правил автоматизации, чтобы просмотреть только те из них, в которых определены действия добавить задачи .

1. Выберите фильтр Действия .

2. Снимите флажок Выбрать все .

3. Прокрутите вниз и установите флажок Добавить задачу .

4. Нажмите кнопку ОК и просмотрите результаты.

   

   Отфильтрованные результаты — это правила автоматизации, которые добавляют задачи к инцидентам. В столбце Имена правил аналитики вы узнаете, на каких правилах аналитики связаны эти правила автоматизации, поэтому вы получите общее представление о том, какие инциденты затрагиваются.

   Примечание.

   Чтобы иметь точные сведения о том, будет ли правило автоматизации применяться к конкретному инциденту, необходимо открыть правило, чтобы узнать, определены ли какие-либо дополнительные условия, помимо условия правила аналитики. Если определены другие условия, область затронутых инцидентов будет соответствующим образом сужаться.

Добавление задач в инциденты с помощью правил автоматизации

Выполните следующие шаги для добавления задач к инцидентам с помощью правила автоматизации:

1. На странице Автоматизация выберите + Создать и выберите Правило службы автоматизации.

2. Справа откроется панель Создание нового правила автоматизации .
   Присвойте правилу автоматизации имя, описывающее его действия.

3. Выберите При создании инцидента в качестве триггера (можно также использовать при обновлении инцидента).

4. Добавьте условия , чтобы определить, в какие инциденты будут добавлены новые задачи.

   Например, выполните фильтрацию по имени правила аналитики:

   • Вы можете добавить задачи в инциденты на основе типов угроз, обнаруженных правилом аналитики или группой правил аналитики, которые необходимо обрабатывать в соответствии с определенным рабочим процессом. Найдите и выберите соответствующие правила аналитики в раскрывающемся списке.

   • Вы также можете добавить задачи, относящиеся к инцидентам для всех типов угроз (в этом случае оставьте по умолчанию значение Все как есть).

   Независимо от того, выберете ли вы определенные правила аналитики или оставите выбранным All, вы можете добавить дополнительные условия, чтобы сузить круг инцидентов, к которым будет применяться ваше правило автоматизации. Дополнительные сведения о добавлении расширенных условий в правила автоматизации.

   Необходимо учитывать, что порядок, в котором задачи отображаются в вашем инциденте, определяется временем их создания. Вы можете задать порядок правил автоматизации, чтобы правила, добавляющие задачи, необходимые для всех инцидентов, выполнялись сначала, и только после этого все правила, добавляющие задачи, необходимые для инцидентов, созданных определенными правилами аналитики.

   

5. В разделе Действия выберите Добавить задачу.

   

6. Для каждой задачи введите заголовок в поле Название задачи , а затем (при необходимости) выберите + Добавить описание , чтобы открыть поле описания.
   По умолчанию на панели списка задач инцидента отображаются только заголовки задач. Описание задачи отображается только при развертывании элемента задачи.

   

7. В поле описания можно добавить описание задачи в свободной форме, включая изображения, ссылки и форматирование форматированного текста (см. гиперссылки, нумерованные списки и текст в формате блока кода в приведенных ниже примерах).

   

8. Добавьте дополнительные задачи в ту же группу инцидентов, выбрав + Добавить действие и повторив последние три шага.

   Задачи будут создаваться и добавляться в инцидент в соответствии с порядком действий добавления задач в правило автоматизации.

   

9. Завершите создание правила автоматизации, выполнив остальные шаги, срок действия правила и порядок, а затем выберите Применить в конце. Подробные сведения см. в статье Создание и использование правил автоматизации Microsoft Sentinel для управления ответами.

   Что касается параметра Order : порядок, в котором задачи отображаются в инцидентах, зависит от двух вещей:

   1. Порядок выполнения правил автоматизации, определяемый номером в параметре Order , и...
   2. Порядок действий задачи "Добавление" , определенный в каждом правиле автоматизации.

Связанные материалы

• Используйте задачи для управления инцидентами в Microsoft Sentinel в портале Azure
• Расследуйте инциденты с Microsoft Sentinel (наследие)
• Создание и выполнение задач для инцидентов в Microsoft Sentinel с помощью сценариев
• Работа с инцидентными задачами в Microsoft Sentinel в портале Azure.
• Автоматизация реагирования на угрозы в Microsoft Sentinel с помощью правил автоматизации
• Создайте и используйте правила автоматизации Microsoft Sentinel для управления откликом.