Программное использование оптимизаций SOC (предварительная версия)

Используйте API Microsoft Sentinel recommendations для программного взаимодействия с рекомендациями по оптимизации SOC, помогая устранить пробелы в покрытии от конкретных угроз и сократить частоту приема. Вы можете получить сведения обо всех текущих рекомендациях в рабочих областях или конкретных рекомендациях по оптимизации SOC, а также повторно оценить рекомендацию, если вы внесли изменения в среду.

Например, используйте recommendations API, чтобы:

• Создание пользовательских отчетов и панелей мониторинга. Например, см. статью Визуализация пользовательских данных оптимизации SOC.
• Интеграция со сторонними средствами, например для служб SOAR и ITSM
• Получите автоматический доступ к данным оптимизации SOC в режиме реального времени, активируя оценки и оперативно реагируя на предложения.

Для клиентов или MSSP, управляющих несколькими средами, recommendations API предоставляет масштабируемый способ обработки рекомендаций в нескольких рабочих областях. Вы также можете экспортировать данные из API и хранить их извне для аудита, архивации или отслеживания тенденций.

Получение, обновление или повторная вычисление рекомендаций

Используйте следующие примеры API для программного recommendationsвзаимодействия с рекомендациями по оптимизации SOC:

• Получите список всех текущих рекомендаций по оптимизации SOC в рабочей области:

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations?api-version=2024-01-01-preview 
  

• Получите конкретную рекомендацию по идентификатору рекомендации:

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

  Найдите значение идентификатора рекомендации, сначала получите список всех рекомендаций в рабочей области.

• Обновите состояние рекомендации на Активно, Выполняется, Завершено, Отклонено или Повторно активируйте:

  PATCH /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

• Активация оценки для конкретной рекомендации вручную:

  POST /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} /triggerEvaluation 
  

Визуализация пользовательских данных оптимизации SOC

Книга оптимизации Microsoft Sentinel использует recommendations API для визуализации данных оптимизации SOC. Установите и настройте книгу в рабочей области, чтобы создать собственную настраиваемую панель мониторинга оптимизации SOC.

В книгах оптимизации Microsoft Sentinel выберите вкладку Оптимизация SOC и разверните элементы в разделе Сведения, чтобы просмотреть данные оптимизации SOC. Измените книгу, чтобы изменить данные, отображаемые по мере необходимости для вашей организации.

Например, вы можете:

Дополнительные сведения см. в разделе:

• Обнаружение содержимого Microsoft Sentinel и управление ими
• Визуализация и мониторинг данных с помощью книг в Microsoft Sentinel.

Связанные материалы

Дополнительные сведения см. в разделе:

• Оптимизация операций безопасности
• Справочник по оптимизации SOC по рекомендациям
• Получение справочника по REST API рекомендаций
• Блоги: Знакомство с API | оптимизации SOCРазблокируйте возможности точного управления безопасностью