Поддерживаемые триггеры и действия в сценариях Microsoft Sentinel

В этой статье описаны триггеры и действия, поддерживаемые соединителем Microsoft Sentinel Logic Apps. Используйте перечисленные триггеры и действия в плейбуках Microsoft Sentinel для работы с данными Microsoft Sentinel.

Предварительные условия

Прежде чем начать, убедитесь, что у вас есть следующие разрешения Azure, необходимые для использования компонентов соединителя Microsoft Sentinel:

Дополнительные сведения см. в разделе Роли и разрешения в Microsoft Sentinel и предварительные требования для работы с сборниками схем Microsoft Sentinel.

Поддерживаемые триггеры Microsoft Sentinel

Коннектор Microsoft Sentinel и, следовательно, плейбуки Microsoft Sentinel поддерживают следующие триггеры:

• инцидент Microsoft Sentinel. Рекомендуется для большинства сценариев автоматизации инцидентов.

  Сценарий получает объекты инцидента, включая как сущности, так и оповещения. Этот триггер позволяет присоединить сборник схем к правилу автоматизации, которое можно активировать при создании или обновлении инцидента в Microsoft Sentinel, применяя к инциденту все преимущества правил автоматизации.

• Оповещение Microsoft Sentinel (предварительная версия). Рекомендуется для сценариев автоматизации, которые нужно запускать вручную для оповещений, или для запланированных правил аналитики, которые не создают инциденты по своим оповещениям.

  • Этот триггер нельзя использовать для автоматизации ответов на оповещения, созданные правилами аналитики безопасности Майкрософт .
  • Сценарии, использующие этот триггер, не могут запускаться правилами автоматизации.

• Microsoft Sentinel сущность. Рекомендуется для плейбуков, которые нужно запускать вручную для определенных объектов в рамках расследования или поиска угроз. Сценарии, использующие этот триггер, не могут запускаться правилами автоматизации.

Схемы, используемые этими потоками, не идентичны. Для большинства сценариев рекомендуется использовать поток триггеров инцидентов Microsoft Sentinel.

Динамические поля инцидента

Объект Incident, полученный из инцидента Microsoft Sentinel, включает следующие динамические поля:

Известные проблемы и ограничения

Переименование триггера в приложении логики в настоящее время не поддерживается. Изменение имени триггера нарушает интеграцию с рабочими процессами автоматизации и Microsoft Sentinel, так как эти службы используют исходное имя триггера для подключения.

Поддерживаемые действия Microsoft Sentinel

Коннектор Microsoft Sentinel, а значит и сборники схем Microsoft Sentinel, поддерживают следующие действия:

Поддерживаемые типы сущностей

Динамическое поле Сущности представляет собой массив объектов JSON, каждый из которых представляет сущность. Каждый тип сущности имеет собственную схему в зависимости от его уникальных свойств.

Действие "Сущности - получение <типа> сущности" позволяет:

• Отфильтруйте массив сущностей по запрошенным типам.
• Выполните синтаксический анализ конкретных полей этого типа, чтобы их можно было использовать в качестве динамических полей в дальнейших действиях.

Входные данные — динамическое поле Сущности .

Ответ представляет собой массив сущностей, в котором анализируются специальные свойства и их можно напрямую использовать в цикле For each .

В настоящее время поддерживаются следующие типы сущностей:

• Протокол IP
• Host
• Account
• URL-адрес
• FileHash

На следующем рисунке показан пример доступных действий для сущностей:

Для других типов сущностей аналогичные функции можно реализовать с помощью встроенных действий Logic Apps:

• Отфильтруйте массив сущностей по запрошенным типам с помощью массива фильтров.

• Выполните синтаксический анализ конкретных полей этого типа, чтобы их можно было использовать в качестве динамических полей в дальнейших действиях с помощью анализа JSON.

Связанные материалы

Дополнительные сведения см. в разделе:

• Создание плейбуков Microsoft Sentinel и управление ими
• Azure Logic Apps для сборников схем Microsoft Sentinel
• Аутентификация сценариев автоматизации в Microsoft Sentinel