Автоматизация и запуск сборников схем Microsoft Sentinel

Сборники схем — это коллекции процедур, которые могут выполняться из Microsoft Sentinel в ответ на весь инцидент, на отдельное оповещение или определенную сущность. Сборник схем может помочь автоматизировать и оркестрировать ответ, и его можно настроить автоматически при создании или обновлении определенных оповещений, при подключении к правилу автоматизации. Он также может выполняться вручную по запросу по конкретным инцидентам, оповещениям или сущностям.

В этой статье описывается, как подключить сборники схем к правилам аналитики или правилам автоматизации или запускать сборники схем вручную для конкретных инцидентов, оповещений или сущностей.

Необходимые компоненты

Перед началом работы убедитесь, что у вас есть сборник схем, доступный для автоматизации или запуска, с заданными триггером, условиями и действиями. Дополнительные сведения см. в статье "Создание сборников схем Microsoft Sentinel и управление ими".

Обязательные роли Azure для запуска сборников схем

Чтобы запустить сборники схем, вам потребуются следующие роли Azure:

Дополнительные сведения см. в статье о предварительных требованиях сборника схем.

Дополнительные разрешения, необходимые для запуска сборников схем для инцидентов

Microsoft Sentinel использует учетную запись службы для запуска сборников схем в инцидентах, для добавления безопасности и включения API правил автоматизации для поддержки вариантов использования CI/CD. Эта учетная запись службы используется для сборников схем, инициируемых инцидентом, или при запуске сборника схем вручную в определенном инциденте.

Помимо собственных ролей и разрешений, эта учетная запись службы Microsoft Sentinel должна иметь собственный набор разрешений для группы ресурсов, в которой находится сборник схем, в виде роли участника службы автоматизации Microsoft Sentinel. После того как Microsoft Sentinel имеет эту роль, она может запускать любую сборник схему в соответствующей группе ресурсов вручную или из правила автоматизации.

Чтобы предоставить Microsoft Sentinel с необходимыми разрешениями, необходимо иметь роль администратора доступа владельца или пользователя. Чтобы запустить сборники схем, вам также потребуется роль участника приложения логики в группе ресурсов, содержащей сборники схем, которые требуется запустить.

Настройка разрешений сборника схем для инцидентов в мультитенантном развертывании

В мультитенантном развертывании, если сборник схем, который вы хотите запустить, находится в другом клиенте, необходимо предоставить учетную запись службы Microsoft Sentinel с разрешением на запуск сборника схем в клиенте сборника схем.

1. В меню навигации Microsoft Sentinel в арендаторе сборника схем выберите Параметры.

2. На странице "Параметры" выберите вкладку "Параметры", а затем расширитель разрешений сборника схем.

3. Нажмите кнопку "Настройка разрешений", чтобы открыть панель "Управление разрешениями".

4. Пометьте флажки групп ресурсов, содержащих сборники схем, которые требуется запустить, и нажмите кнопку "Применить". Например:

   

У вас должны быть разрешения владельца для любой группы ресурсов, в которой требуется предоставить разрешения Microsoft Sentinel, и у вас должна быть роль оператора playbook Microsoft Sentinel в любой группе ресурсов, содержащей сборники схем, которые вы хотите запустить.

Если в сценарии MSSP необходимо запустить сборник схем в клиенте клиента из правила автоматизации, созданного при входе в клиент поставщика услуг, необходимо предоставить Microsoft Sentinel разрешение на запуск сборника схем в обоих клиентах:

• В клиенте клиента следуйте стандартным инструкциям по развертыванию мультитенантной среды.

• В клиенте поставщика услуг добавьте приложение Azure Security Insights в шаблон подключения Azure Lighthouse следующим образом:

  1. В портал Azure перейдите к идентификатору Microsoft Entra и выберите корпоративные приложения.
  2. Выберите тип приложения и фильтр в приложениях Майкрософт.
  3. В поле поиска введите Azure Security Insights.
  4. Скопируйте поле Идентификатор объекта. Необходимо добавить эту дополнительную авторизацию в существующее делегирование Azure Lighthouse.

Роль участника службы автоматизации Microsoft Sentinel имеет фиксированный GUID f4c81013-99ee-4d62-a7ee-b3f1f648599a. Пример авторизации Azure Lighthouse в шаблоне параметров будет иметь следующий вид.

{
"principalId": "<Enter the Azure Security Insights app Object ID>", 
"roleDefinitionId": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
"principalIdDisplayName": "Microsoft Sentinel Automation Contributors" 
}

Автоматизация реагирования на инциденты и оповещения

Чтобы автоматически реагировать на все инциденты или отдельные оповещения с помощью сборника схем, создайте правило автоматизации, которое выполняется при создании или обновлении инцидента или при создании оповещения. Это правило автоматизации включает шаг, вызывающий сборник схем, который вы хотите использовать.

Чтобы создать правило автоматизации, выполните приведенные действия.

1. На странице автоматизации в меню навигации Microsoft Sentinel выберите "Создать" в верхнем меню, а затем правило автоматизации. Например:

   

2. Откроется панель Create new automation rule (Создание правила автоматизации). Введите имя правила. Параметры различаются в зависимости от того, подключена ли рабочая область к порталу Microsoft Defender. Например:

   • Подключенные рабочие области
   • Рабочие области, которые не подключены

   

3. Триггер: выберите соответствующий триггер в соответствии с обстоятельством, для которого создается правило автоматизации— при создании инцидента, при обновлении инцидента или при создании оповещения.

4. Условия.

   1. Если рабочая область еще не подключена к порталу Defender, инциденты могут иметь два возможных источника:

      • Инциденты можно создать внутри Microsoft Sentinel
      • Инциденты можно импортировать из — и синхронизировать с — XDR в Microsoft Defender.

      Если вы выбрали один из триггеров инцидентов и хотите, чтобы правило автоматизации ввелось только на инциденты, которые были источником в Microsoft Sentinel или в XDR в Microsoft Defender, укажите источник в условии, если поставщик инцидентов равен условию.

      Это условие отображается только в том случае, если выбран триггер инцидента, и ваша рабочая область не подключена к порталу Defender.

   2. Для всех типов триггеров, если требуется, чтобы правило автоматизации действовало только в определенных правилах аналитики, укажите, какие из них можно изменить, изменив имя правила If Analytics, содержащее условие.

   3. Добавьте любые другие условия, которые необходимо определить, выполняется ли это правило автоматизации. Выберите +Добавить и выберите условия или группы условий из раскрывающегося списка. Список условий заполняется сведениями о предупреждении и полями идентификаторов сущностей.

5. Действия:

   1. Так как вы используете это правило автоматизации для запуска сборника схем, выберите действие run playbook из раскрывающегося списка. Затем появится запрос на выбор из второго раскрывающегося списка, где отображаются доступные сборники схем. Правило автоматизации может запускать только те сборники схем, которые начинаются с того же триггера (инцидент или оповещение), что и триггер, определенный в правиле, поэтому в списке отображаются только те сборники схем.

      Если сборник схем отображается серым в раскрывающемся списке, это означает, что Microsoft Sentinel не имеет разрешения на группу ресурсов этой сборника схем. Щелкните ссылку Управление разрешениями для сборника схем, чтобы назначить разрешения.

      На открывшейся панели Управление разрешениями установите флажки рядом с группами ресурсов, содержащими сборники схем, которые требуется запустить, и выберите Применить. Например:

      

      У вас должны быть разрешения владельца для любой группы ресурсов, в которой требуется предоставить разрешения Microsoft Sentinel, и у вас должна быть роль оператора playbook Microsoft Sentinel в любой группе ресурсов, содержащей сборники схем, которые вы хотите запустить.

      Дополнительные сведения см. в разделе "Дополнительные разрешения", необходимые для запуска сборников схем для инцидентов.

   2. Добавьте другие действия, которые вы хотите выполнить для этого правила. Порядок выполнения действий можно изменить, выбрав стрелки вверх или вниз справа от любого действия.

6. Задайте дату истечения срока действия правила автоматизации, если это необходимо.

7. Введите число в разделе "Порядок", чтобы определить, где выполняется это правило в последовательности правил автоматизации.

8. Нажмите кнопку "Применить" , чтобы завершить автоматизацию.

Дополнительные сведения см. в статье "Создание сборников схем Microsoft Sentinel и управление ими".

Реагирование на оповещения — устаревший метод

Еще одним способом автоматического запуска сборников схем в ответ на оповещения являются вызовы из правила аналитики. Когда правило создает оповещение, сборник схем запускается.

Этот метод будет нерекомендуем по состоянию на март 2026 года.

Начиная с июня 2023 года, вы больше не можете добавлять сборники схем в правила аналитики таким образом. Однако вы по-прежнему видите существующие сборники схем, вызываемые из правил аналитики, и эти сборники схем по-прежнему будут работать до марта 2026 года. Мы настоятельно рекомендуем вам создавать правила автоматизации для вызова этих сборников схем перед этим.

Запуск сборника схем вручную по запросу

Вы также можете вручную запустить сборник схем по запросу, независимо от того, в ответ на оповещения, инциденты или сущности. Это может быть полезно в тех ситуациях, когда требуется больше сотрудников для ввода данных и управления процессами оркестрации и реагирования.

Запуск сборника схем в оповещении вручную

Эта процедура не поддерживается на портале Defender.

В портал Azure выберите одну из следующих вкладок, как это необходимо для вашей среды:

Журнал выполнения для сборника схем можно просмотреть в оповещении, выбрав вкладку Запуски в области Сборники схем оповещения. На отображение только что выполненной операции запуска в этом списке может потребоваться несколько секунд. При выборе определенного запуска откроется полный журнал выполнения в Logic Apps.

Запуск сборника схем в инциденте вручную

Эта процедура отличается в зависимости от того, работаете ли вы на портал Azure или на портале Defender. Выберите соответствующую вкладку для вашей среды:

Просмотрите журнал выполнения сборников схем в инциденте, выбрав вкладку "Запуски " на панели схем запуска на панели инцидентов . На отображение только что выполненной операции запуска в этом списке может потребоваться несколько секунд. При выборе определенного запуска откроется полный журнал выполнения в Logic Apps.

Запуск сборника схем вручную в сущности

Эта процедура не поддерживается на портале Defender.

Выберите сущность одним из следующих способов в зависимости от исходного контекста:

Независимо от контекста, который вы пришли, последний шаг в этой процедуре — из сборника схем Run на< панели типов> сущностей. На этой панели показан список всех сборников схем, к которым у вас есть доступ к ним с триггером Microsoft Sentinel Entity Logic Apps для выбранного типа сущности.

На панели типов> сущностей *Run playbook< выберите вкладку "Запуски", чтобы просмотреть журнал выполнения сборника схем для определенной сущности. На отображение только что выполненной операции запуска в этом списке может потребоваться несколько секунд. При выборе определенного запуска откроется полный журнал выполнения в Logic Apps.

Связанный контент

Дополнительные сведения см. в разделе:

• Создание сборников схем Microsoft Sentinel и управление ими
• Автоматизация реагирования на угрозы в Microsoft Sentinel с помощью правил автоматизации