Мониторинг работоспособности правил автоматизации и сборников схем

Чтобы обеспечить правильную работу и производительность операций оркестрации безопасности, автоматизации и реагирования в службе Microsoft Sentinel, отслеживайте работоспособность правил автоматизации и сборников схем, отслеживая журналы их выполнения.

Настройте уведомления о событиях, связанных с работоспособностью, для соответствующих заинтересованных сторон, чтобы они могли принять меры. Например, определите и отправьте сообщения электронной почты или Microsoft Teams, создайте новые билеты в своей билетной системе и т. д.

В этой статье описывается, как использовать функции мониторинга работоспособности Microsoft Sentinel для отслеживания состояния правил автоматизации и плейбуков непосредственно в Microsoft Sentinel. Дополнительные сведения см. в статье Аудит и мониторинг работоспособности в Microsoft Sentinel.

Использование таблицы данных SentinelHealth

Чтобы получить данные о работоспособности автоматизации из таблицы данных SentinelHealth, сначала включите функцию работоспособности Microsoft Sentinel для рабочей области. Дополнительные сведения см. в статье Включение мониторинга работоспособности для Microsoft Sentinel.

После включения функции проверки работоспособности таблица данных SentinelHealth создается при первом успешном или неуспешном событии, сгенерированном для ваших правил автоматизации и плейбуков.

Описание событий таблицы SentinelHealth

В таблице SentinelHealth регистрируются следующие типы событий работоспособности автоматизации:

• Запуск правил автоматизации: регистрируется всякий раз, когда выполнены условия правила автоматизации, что приводит к его запуску. Помимо полей в базовой таблице SentinelHealth , эти события включают расширенные свойства, уникальные для выполнения правил автоматизации, включая список плейбуков, вызываемых правилом. Следующий пример запроса показывает следующие события:

  SentinelHealth
  | where OperationName == "Automation rule run"
  

• Плейбук был активирован: Логировался, когда плейбук запускается при инциденте вручную из портала или через API. Помимо полей в базовой таблице SentinelHealth , эти события включают расширенные свойства, уникальные для ручного запуска плейбуков. Следующий пример запроса показывает следующие события:

  SentinelHealth
  | where OperationName == "Playbook was triggered"
  

Дополнительные сведения см. в разделе Схема столбцов таблицы SentinelHealth.

Состояния, ошибки и рекомендуемые шаги

Для статуса запуска правила автоматизации вы можете увидеть следующие статусы:

• Успех: Правило успешно исполнено, активируя все действия.

• Частичный успех: правило выполнило и сработало хотя бы одно действие, но некоторые действия не сработали.

• Ошибка: Правило автоматизации не выполняло никаких действий по одной из следующих причин:

  • Не удалось выполнить проверку условий.
  • Условия выполнены, но первое действие завершилось ошибкой.

Для статуса «Плейбук был активирован » вы можете увидеть следующие статусы:

• Успех: Плейбук был успешно активирован.

• Провал: Плейбук не мог быть активирован.

  Примечание.

  Успех означает лишь то, что правило автоматизации успешно запустило плейбук. Он не сообщает, когда сборник схем начал или закончился, результаты действий в сборнике схем или конечный результат сборника схем.

  Чтобы найти эти сведения, выполните запрос к журналам диагностики Logic Apps. Дополнительные сведения см. в разделе Получение полной картины автоматизации.

Описания ошибок и рекомендуемые действия

В следующей таблице описаны распространённые ошибки правил автоматизации и плейбука, а также рекомендуемые действия по их устранению.

Получение полного представления об автоматизации

Таблица мониторинга работоспособности Microsoft Sentinel позволяет отслеживать, когда запускаются плейбуки, но чтобы отслеживать, что происходит внутри плейбуков, а также результаты их выполнения, необходимо также включить диагностику в Azure Logic Apps, чтобы передавать следующие события в таблицу AzureDiagnostics:

• {Имя действия} запущено
• {Имя действия} завершено
• Рабочий процесс (сборник схем) запущен
• Рабочий процесс (сборник схем) завершен

Эти добавленные события дают дополнительную информацию о действиях, которые выполняются в сценариях.

Включите диагностику Azure Logic Apps

Для каждого плана, который вы хотите отслеживать, включите Log Analytics для вашего логического приложения. Убедитесь, что в качестве назначения для журналов выбрано Отправить в рабочую область Log Analytics и что выбрана рабочая область Microsoft Sentinel.

Сопоставление журналов Microsoft Sentinel и Azure Logic Apps

Теперь, когда у вас есть журналы для правил автоматизации, сборники схем и журналы для отдельных рабочих процессов Logic Apps в рабочей области, вы можете сопоставить их, чтобы получить полную картину. Рассмотрим следующий пример запроса:

SentinelHealth 
| where SentinelResourceType == "Automation rule"
| mv-expand TriggeredPlaybooks = ExtendedProperties.TriggeredPlaybooks
| extend runId = tostring(TriggeredPlaybooks.RunId)
| join (AzureDiagnostics 
    | where OperationName == "Microsoft.Logic/workflows/workflowRunCompleted"
    | project
        resource_runId_s,
        playbookName = resource_workflowName_s,
        playbookRunStatus = status_s)
    on $left.runId == $right.resource_runId_s
| project
    RecordId,
    TimeGenerated,
    AutomationRuleName= SentinelResourceName,
    AutomationRuleStatus = Status,
    Description,
    workflowRunId = runId,
    playbookName,
    playbookRunStatus

См. больше информации о следующих элементах, использованных в предыдущих примерах, в документации Kusto:

• where оператор
• Оператор mv-expand
• extend оператор
• Оператор join
• project оператор
• Функция tostring()

Дополнительные сведения о KQL см. в статье Общие сведения о язык запросов Kusto (KQL).

Другие ресурсы

• Краткий справочник по KQL
• Учебные материалы по языку запросов Kusto Query Language

Используйте книгу мониторинга работоспособности

Рабочая книга Automation Health помогает визуализировать ваши данные о здоровье, а также корреляцию между логами Microsoft Sentinel SentinelHealth и логами Azure Logic Apps AzureDiagnostics. Рабочая тетрадь по автоматизации здоровья содержит следующие дисплеи:

• Состояние и сведения о правиле автоматизации
• Состояние и сведения о триггерах сценария
• Запуски плейбука: состояние и сведения (требуется, чтобы на уровне плейбука была включена диагностика Azure)
• Сведения об автоматизации для каждого инцидента

Например, вы можете:

Выберите вкладку Плейбуки, запущенные правилами автоматизации, чтобы просмотреть активность плейбуков.

Выберите сценарий, чтобы увидеть список его запусков на диаграмме с детализацией ниже.

Выберите конкретный забег, чтобы увидеть результаты действий в этом забеге.

Связанные материалы

• Аудит и мониторинг состояния в Microsoft Sentinel.
• Включите аудит и мониторинг работоспособности в Microsoft Sentinel.
• Отслеживайте работоспособность соединителей данных.
• Отслеживайте работоспособность и целостность правил аналитики.
• Справочник по таблицам работоспособности Microsoft Sentinel
• Microsoft Sentinel audit tables reference