Настройка автоматизации в Microsoft Sentinel

Общие сведения о правилах автоматизации и сборниках схем

Правила автоматизации помогают обрабатывать инциденты в Microsoft Sentinel. Их можно использовать для автоматического назначения инцидентов правильному персоналу, закрытия шумных инцидентов или известных ложных срабатываний, изменения их серьезности и добавления тегов. Они также являются механизмом, с помощью которого можно запускать сборники схем в ответ на инциденты или оповещения.

Сборники схем — это коллекции процедур, которые могут выполняться из Microsoft Sentinel в ответ на весь инцидент, на отдельное оповещение или определенную сущность. Сборник схем может помочь автоматизировать и оркестрировать ответ, и его можно настроить автоматически при создании или обновлении определенных оповещений, при подключении к правилу автоматизации. Он также может выполняться вручную по запросу по конкретным инцидентам, оповещениям или сущностям.

Плейбуки в Microsoft Sentinel основаны на рабочих процессах, созданных в Azure Logic Apps, что означает, что вы получаете все возможности, настраиваемость и встроенные шаблоны Logic Apps. Каждая сборник схем создается для конкретной подписки, к которой она принадлежит, но в сборниках схем отображаются все сборники схем, доступные в любой выбранной подписке.

Например, если вы хотите предотвратить доступ потенциально скомпрометированных пользователей к ресурсам сети и кражу информации, можно создать автоматизированный многоаспектный ответ на инциденты, созданные на основе правил обнаружения скомпрометированных пользователей. Начнем с создания сборника схем, выполняющего описанные ниже действия.

1. Когда плейбук вызывается правилом автоматизации, передающим инцидент, плейбук открывает тикет в ServiceNow или в любой другой системе тикетов ИТ.
2. Он отправляет сообщение в канал операций безопасности в Microsoft Teams или Slack , чтобы убедиться, что аналитики безопасности осведомлены об инциденте.
3. Он также отправляет все сведения в инциденте в сообщении электронной почты старшему администратору сети и администратору безопасности. В сообщении электронной почты будут включены кнопки " Блокировать " и "Игнорировать параметры пользователя".
4. Сборник схем ожидает получения ответа от администраторов, а затем переходит к следующим шагам.
5. Если администраторы выбирают блокировку, он отправляет команду в идентификатор Microsoft Entra, чтобы отключить пользователя, и один в брандмауэр, чтобы заблокировать IP-адрес.
6. Если администраторы выбирают "Игнорировать", плейбук закрывает инцидент в Microsoft Sentinel и требование в ServiceNow.

Чтобы активировать сборник схем, вы создадите правило автоматизации, которое будет выполняться при создании таких инцидентов. В соответствии с этим правилом будут выполняться следующие действия:

1. Правило изменяет состояние инцидента на "Активный".
2. Инцидент будет назначен аналитику, отвечающему за управление инцидентами такого типа.
3. Будет добавлен тег "скомпрометированный пользователь".
4. Наконец, будет вызван только что созданный сборник схем. (Для этого шага требуются специальные разрешения.)

Сборники схем можно запускать автоматически в ответ на инциденты, создав правила автоматизации, вызывающие такие сборники в качестве действий, как в приведенном выше примере. Они также могут запускаться автоматически в ответ на предупреждения, если в правиле аналитики предусмотрено автоматическое выполнение одного или нескольких сборников схем при создании предупреждения.

При этом можно также выбрать запуск сборника схем вручную по запросу в ответ на выбранное предупреждение.

Получите более полное и подробное введение в автоматизацию реагирования на угрозы с помощью правил автоматизации и сборников схем в Microsoft Sentinel.

Создание сборника схем

Чтобы создать сборник схем в Microsoft Sentinel, сделайте следующее.

1. Для Microsoft Sentinel на портале Azure выберите страницуавтоматизации>. Для Microsoft Sentinel на портале Defender выберите .

2. В верхнем меню выберите "Создать".
   

3. Раскрывающееся меню, которое появляется под Создание, предлагает четыре варианта для создания плейбуков:

   • Если вы создаете Стандартный плейбук (новый вид — см. типы приложений логики), выберите Пустой плейбук и следуйте инструкциям на вкладке Logic Apps Standard ниже.
     
     
   • Если вы создаете сборник схем потребления (исходный, классический тип), то в зависимости от того, какой триггер вы хотите использовать, выберите сборник схем с триггером инцидента, сборник схем с триггером оповещения или сборник схем с триггером сущности. Затем выполните действия, описанные на вкладке "Потребление Logic Apps " ниже.
     

Дополнительные сведения об используемом триггере см. в разделе "Использование триггеров и действий" в сборниках схем Microsoft Sentinel. Дополнительные сведения об используемом триггере см. в разделе "Использование триггеров и действий" в сборниках схем Microsoft Sentinel.

На вкладке "Основные сведения" :

1. Выберите подписку, группу ресурсов и регион вашего выбора из соответствующих раскрывающихся списков. Выбранный регион — это место, в котором будут храниться сведения о вашем приложении логики.
2. Введите имя для вашего плейбука под Название плейбука.
3. Если вы хотите отслеживать активность этого плейбука в диагностических целях, установите флажок "Включить журналы диагностики" в Log Analytics и выберите рабочую область Log Analytics из раскрывающегося списка.
4. Если плейбуки нуждаются в доступе к защищённым ресурсам, которые находятся внутри или подключены к виртуальной сети Azure, возможно, потребуется использовать среду службы интеграции (ISE). В этом случае установите флажок Связь со средой службы интеграции и выберите нужную среду из раскрывающегося списка.
5. Нажмите кнопку "Далее" — подключения>.

На вкладке "Подключения" :

Лучше всего будет оставить этот раздел без изменений и настроить Logic Apps для подключения к Microsoft Sentinel с использованием управляемого удостоверения. Узнайте об этом и других вариантах проверки подлинности.

Нажмите кнопку "Далее": проверка и создание>.

На вкладке "Рецензирование" и "Создать ":

Просмотрите выбранные варианты конфигурации и выберите "Создать" и перейдите к конструктору.

На создание и развертывание вашего плейбука потребуется несколько минут, после чего вы увидите сообщение "Развертывание завершено", и вы перейдете в Конструктор Logic App вашего нового плейбука. Триггер, выбранный в начале, будет автоматически добавлен в качестве первого шага, и вы можете продолжить проектирование рабочего процесса.

Если вы выбрали триггер сущности Microsoft Sentinel (предварительная версия), выберите тип сущности, которую вы хотите получать в виде входных данных для этого плейбука.

Добавление действий

Теперь можно определить, что произойдет при активации сборника схем. Чтобы добавить действия, логические условия, циклы или условия для оператора switch, выберите Новый шаг. При выборе этого варианта в конструкторе открывается новый фрейм, где можно выбрать систему или приложение для взаимодействия или условие, которое необходимо задать. Введите имя системы или приложения в строке поиска в верхней части фрейма, а затем выберите один из доступных результатов.

На каждом из этих шагов при щелчке в любом поле отображается панель с двумя меню: Динамическое содержимое и Выражение. В меню динамического содержимого можно добавить ссылки на атрибуты оповещения или инцидента, переданные в сборник схем, включая значения и атрибуты всех сопоставленных сущностей и пользовательских сведений , содержащихся в оповещении или инциденте. С помощью меню Выражение можно добавить дополнительную логику к шагам, выбрав необходимые элементы из большой библиотеки функций.

На этом снимке экрана показаны действия и условия, которые можно добавить при создании сборника схем, описанного в примере в начале этого документа. Узнайте больше о добавлении действий в сборники схем.

Дополнительные сведения о действиях, которые можно добавить в плейбуки Microsoft Sentinel, см. в статье "Использование триггеров и действий в плейбуках Microsoft Sentinel".

В частности, обратите внимание на эту важную информацию о playbooks, основанных на триггере сущности в контексте, не связанном с инцидентами.

Автоматизация реагирования на угрозы

Вы создали сборник схем и определили триггер, установили условия, а также задали действия, которые он будет выполнять, и выходные данные, которые он будет создавать. Теперь необходимо определить условия, при которых он будет выполняться, и настроить механизм автоматизации, который будет запускать его при выполнении этих условий.

Реагирование на инциденты и оповещения

Чтобы использовать сборник схем для автоматического реагирования на весь инцидент или отдельное оповещение, создайте правило автоматизации , которое будет выполняться при создании или обновлении инцидента или при создании оповещения. Это правило автоматизации будет включать шаг, который вызывает сборник схем, который вы хотите использовать.

Чтобы создать правило автоматизации, выполните следующие действия.

1. На странице автоматизации в меню навигации Microsoft Sentinel выберите "Создать " в верхнем меню, а затем правило автоматизации.
   

2. Откроется панель создания нового правила автоматизации. Введите имя правила. Параметры отличаются в зависимости от того, подключена ли рабочая область к единой платформе операций безопасности. Например:

3. Триггер: выберите соответствующий триггер в соответствии с обстоятельством, для которого создается правило автоматизации: при создании инцидента, при обновлении инцидента или при создании оповещения.
   

4. Условия:

   • Если рабочая область еще не подключена к единой платформе операций безопасности, инциденты могут иметь два возможных источника:

     • Инциденты можно создать внутри Microsoft Sentinel
       
     • Инциденты можно импортировать из (и синхронизировать с) XDR в Microsoft Defender.

   • Если вы выбрали один из триггеров инцидентов и хотите, чтобы правило автоматизации ввелось только на инциденты, которые были источником в Microsoft Sentinel или в XDR в Microsoft Defender, укажите источник в условии, если поставщик инцидентов равен условию.

   • Это условие будет отображаться только в том случае, если выбран триггер инцидента, и ваша рабочая область не подключена к единой платформе операций безопасности.
     

   • Для всех типов триггеров, если вы хотите, чтобы правило автоматизации действовало только на определенные правила аналитики, укажите их, изменив условие Если название правила аналитики содержит.
     

   • Добавьте любые другие условия, которые необходимо определить, будет ли выполняться это правило автоматизации. Выберите +Добавить и выберите условия или группы условий из раскрывающегося списка. Список условий заполняется сведениями о предупреждении и полями идентификаторов сущностей.
     

5. Действия:

   • Поскольку вы используете это правило автоматизации для запуска плейбука, выберите действие Run playbook из выпадающего списка. Затем появится запрос на выбор из второго раскрывающегося списка, где отображаются доступные сборники схем. Правило автоматизации может запускать только те сборники схем, которые начинаются с того же триггера (инцидента или оповещения), что и триггер, определенный в правиле, поэтому в списке будут отображаться только те сборники схем.

На открывающейся панели 'Управление разрешениями' установите флажки групп ресурсов, содержащих плейбуки, которые вы хотите запустить, и нажмите 'Применить'.

• У вас должны быть разрешения владельца для любой группы ресурсов, которой требуется предоставить разрешения Microsoft Sentinel, и у вас должна быть роль участника приложения логики для любой группы ресурсов, содержащей сборники схем, которые требуется запустить.
  
• В мультитенантном развертывании, если сборник схем, который вы хотите запустить, находится в другом клиенте, необходимо предоставить Microsoft Sentinel разрешение на запуск сборника схем в клиенте сборника схем.
  
• В меню навигации Microsoft Sentinel в области сценариев выберите «Параметры».
  
• В панели "Параметры" выберите вкладку "Настройки", а затем расширитель разрешения планов работ.
• Нажмите кнопку "Настройка разрешений", чтобы открыть панель "Управление разрешениями ", описанную выше, и продолжить, как описано здесь.

В сценарии MSSP, если вы хотите запустить плейбук в среде клиента из правила автоматизации, созданного во время работы в tenant поставщика услуг, необходимо предоставить Microsoft Sentinel разрешение на запуск плейбука в обоих тенантах. В клиенте клиента следуйте инструкциям по развертыванию мультитенантного развертывания в предыдущей точке маркера. На арендаторе поставщика услуг необходимо добавить приложение Azure Security Insights в шаблон адаптации Azure Lighthouse.

1. На портале Azure перейдите к идентификатору Microsoft Entra.
   
2. Щелкните Корпоративные приложения.
3. Выберите тип приложения и фильтр в приложениях Майкрософт.
4. В поле поиска введите Azure Security Insights.
5. Скопируйте поле идентификатора объекта . Необходимо добавить эту дополнительную авторизацию в существующее делегирование Azure Lighthouse.

Роль участника службы автоматизации Microsoft Sentinel имеет фиксированный GUID.f4c81013-99ee-4d62-a7ee-b3f1f648599a

6. Добавьте другие действия, которые вы хотите выполнить для этого правила. Порядок выполнения действий можно изменить, выбрав стрелки вверх или вниз справа от любого действия.
7. Задайте дату истечения срока действия правила автоматизации, если это необходимо.
   
8. Введите число в разделе "Порядок", чтобы определить, где будет выполняться это правило в последовательности правил автоматизации.
   
9. Нажмите кнопку "Применить". Готово!

Реагирование на оповещения — устаревший метод

Еще одним способом автоматического запуска сборников схем в ответ на оповещения являются вызовы из правила аналитики. Когда правило создает оповещение, сборник схем запускается.

Этот метод будет нерекомендуем по состоянию на март 2026 года.

Начиная с июня 2023 года, вы больше не можете добавлять сборники схем в правила аналитики таким образом. Однако вы по-прежнему видите существующие сборники схем, вызываемые из правил аналитики, и эти сборники схем по-прежнему будут работать до марта 2026 года. Перед этим настоятельно рекомендуется создавать правила автоматизации для вызова этих сборников схем .

Выполнение сборника схем по запросу

Вы также можете вручную запустить сборник схем по запросу, будь то в ответ на оповещения, инциденты (в предварительной версии) или сущности (также в предварительной версии). Это может быть полезно в тех ситуациях, когда требуется больше сотрудников для ввода данных и управления процессами оркестрации и реагирования.

Запуск сборника схем в оповещении вручную

На портале Azure выберите одну из следующих вкладок, как это необходимо для вашей среды:

1. На странице "Инциденты" выберите инцидент. На портале Azure выберите "Просмотреть полные сведения " в нижней части области сведений об инциденте, чтобы открыть страницу сведений об инциденте.
2. На странице сведений об инциденте в мини-приложении временной шкалы инцидента выберите оповещение, в которое нужно запустить сборник схем. Выберите три точки в конце строки оповещения и выберите команду "Запустить сборник схем " во всплывающем меню.
   

3. Откроется панель планов действий для оповещений. Вы увидите список всех плейбуков, настроенных с использованием триггера Microsoft Sentinel Alert Logic Apps, к которому у вас есть доступ.
4. Нажмите кнопку "Выполнить " в строке определенного сборника схем, чтобы запустить его немедленно.
   

Вы можете просмотреть историю запусков плейбуков в оповещении, выбрав вкладку «Запуски» на панели плейбуков оповещений. На отображение только что выполненной операции запуска в этом списке может потребоваться несколько секунд. При выборе конкретной операции запуска открывается полный журнал запуска в Logic Apps.