Программное использование оптимизаций SOC (предварительная версия)

Используйте API Microsoft Sentinel recommendations, чтобы программно взаимодействовать с рекомендациями по оптимизации SOC, устранять пробелы в покрытии для защиты от конкретных угроз и точнее контролировать скорость приема данных. Вы можете получить сведения обо всех текущих рекомендациях в рабочих областях или конкретных рекомендациях по оптимизации SOC, а также повторно оценить рекомендацию, если вы внесли изменения в среду.

Например, используйте recommendations API, чтобы:

• Создание пользовательских отчетов и панелей мониторинга. Например, см. Визуализация настраиваемых данных оптимизации SOC.
• Интеграция со сторонними средствами, например для служб SOAR и ITSM
• Получите автоматический доступ к данным оптимизации SOC в режиме реального времени, активируя оценки и оперативно реагируя на предложения.

Для клиентов или MSSP, управляющих несколькими средами, recommendations API предоставляет масштабируемый способ обработки рекомендаций в нескольких рабочих областях. Вы также можете экспортировать данные из API и хранить их извне для аудита, архивации или отслеживания тенденций.

Получить, обновить или пересмотреть рекомендации

Используйте следующие примеры API recommendations для программного взаимодействия с рекомендациями по оптимизации SOC:

• Получите список всех текущих рекомендаций по оптимизации SOC в рабочей области:

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations?api-version=2024-01-01-preview 
  

• Получите конкретную рекомендацию по идентификатору рекомендации:

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

  Чтобы найти значение идентификатора рекомендации, сначала получите список всех рекомендаций в вашей рабочей области.

• Обновите состояние рекомендации на Активно, Выполняется, Завершено, Отклонено или Повторно активируйте:

  PATCH /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

• Вручную запустите оценку для конкретной рекомендации:

  POST /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} /triggerEvaluation 
  

Визуализируйте настраиваемые данные оптимизации SOC

Книга оптимизации Microsoft Sentinel использует recommendations API для визуализации данных оптимизации SOC. Установите и настройте книгу в своей рабочей области, чтобы создать собственную панель мониторинга оптимизации SOC.

В книгах оптимизации Microsoft Sentinel выберите вкладку Оптимизация SOC и разверните элементы в разделе Сведения, чтобы просмотреть данные оптимизации SOC. Измените рабочую книгу, чтобы при необходимости изменить отображаемые данные в соответствии с потребностями вашей организации.

Например, вы можете:

Дополнительные сведения см. в разделе:

• Поиск готового содержимого Microsoft Sentinel и управление им
• Визуализируйте и отслеживайте свои данные с помощью книг в Microsoft Sentinel.

Связанные материалы

Дополнительные сведения см. в разделе:

• Оптимизация операций безопасности
• Справочник с рекомендациями по оптимизации SOC
• Справочник по REST API Get Recommendations
• Блоги: Представляем API оптимизации SOC | Раскройте возможности управления безопасностью на основе точных данных