Erstellen und Verwalten von Microsoft Sentinel-Playbooks

Playbooks sind Sammlungen von Prozeduren, die von Microsoft Sentinel als Reaktion auf einen gesamten Incident, auf eine einzelne Warnung oder auf eine bestimmte Entität ausgeführt werden können. Ein Playbook kann dabei helfen, Ihre Reaktion zu automatisieren und zu orchestrieren, und es kann an eine Automatisierungsregel angefügt werden, die automatisch ausgeführt wird, wenn bestimmte Warnungen generiert werden oder Wenn Incidents erstellt oder aktualisiert werden. Playbooks können bei Bedarf auch manuell für bestimmte Vorfälle, Warnungen oder Entitäten ausgeführt werden.

In diesem Artikel wird beschrieben, wie Sie Microsoft Sentinel Playbooks erstellen und verwalten. Bevor Sie beginnen, stellen Sie sicher, dass Sie die Playbook-Voraussetzungen erfüllen, einschließlich eines Azure-Abonnements und der erforderlichen Logic App Azure-Rollen. Sie können diese Playbooks später an Analyse- oder Automatisierungsregeln anfügen oder manuell für bestimmte Vorfälle, Warnungen oder Entitäten ausführen.

Voraussetzungen

Bevor Sie Playbooks erstellen oder verwalten, stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllen:

• Ein Azure Konto und Abonnement. Sollten Sie noch kein Abonnement besitzen, erstellen Sie ein kostenloses Azure-Konto.

• Zum Erstellen und Verwalten von Playbooks benötigen Sie Zugriff auf Microsoft Sentinel mit einer der folgenden Azure Rollen:

  Logik-App	Azure-Rollen	Beschreibung
  Verbrauch	Logik-App-Mitwirkender	Bearbeiten und Verwalten von Logik-Apps
  Verbrauch	Logic Apps-Operator	Lesen, Aktivieren und Deaktivieren von Logik-Apps.
  Standard	Logic Apps-Standard-Operator	Aktivieren, erneut senden und deaktivieren Sie Workflows.
  Standard	Logic Apps-Standard-Entwickler	Erstellen und Bearbeiten von Workflows
  Standard	Logic Apps Standard-Mitwirkender	Verwalten aller Aspekte eines Workflows.

  Weitere Informationen finden Sie in der folgenden Dokumentation:

  • Secure access to logic app operations in Azure Logic Apps
  • Voraussetzungen für Microsoft Sentinel-Playbooks.

• Bevor Sie Ihr Playbook erstellen, empfehlen wir Ihnen, Azure Logic Apps für Microsoft Sentinel-Playbooks zu lesen.

Erstellen Sie ein Playbook

Führen Sie die folgenden Schritte aus, um ein neues Playbook in Microsoft Sentinel zu erstellen:

1. Navigieren Sie im Defender-Portal oder im Azure-Portal zu Ihrem Microsoft Sentinel Arbeitsbereich. Wählen Sie im Arbeitsbereichsmenü unter Konfiguration die Option Automatisierung aus.

   • Defender-Portal
   • Azure-Portal

   

2. Wählen Sie im oberen Menü erstellen und dann eine der folgenden Optionen aus:

   • Wenn Sie ein Verbrauchs-Playbook erstellen, wählen Sie je nach gewünschtem Auslöser eine der folgenden Optionen aus, und führen Sie dann die Schritte aus, um ein Playbook der Verbrauchslogik-App vorzubereiten:

     • Playbook mit Vorfalls-Trigger
     • Playbook mit Alarmauslöser
     • Playbook mit Entitäts-Trigger

     In diesem Beispiel wählen Sie Playbook mit Entitäten-Trigger.

   • Wenn Sie ein Standard-Playbook erstellen, wählen Sie „Leeres Playbook“ aus und bereiten Sie dann ein Standard-Logik-App-Playbook vor.

   Weitere Informationen finden Sie unter Unterstützte Logik-App-Typen und Unterstützte Trigger und Aktionen in Microsoft Sentinel Playbooks.

Bereiten Sie die Logik-App Ihres Playbooks vor

Wählen Sie je nach verwendetem Typ der Logik-App – Consumption oder Standard – eine der folgenden Registerkarten aus, um weitere Informationen dazu zu erhalten, wie Sie eine Logik-App für Ihr Playbook erstellen. Weitere Informationen finden Sie unter Unterstützte Logik-App-Typen.

Authentifizieren Sie Verbindungen für Ihre Playbook-Aktionen.

Wenn Sie einen Trigger oder eine nachfolgende Aktion hinzufügen, die eine Authentifizierung erfordert, werden Sie möglicherweise aufgefordert, aus den verfügbaren Authentifizierungstypen auszuwählen, die vom entsprechenden Ressourcenanbieter unterstützt werden. In diesem Beispiel ist ein Microsoft Sentinel Trigger der erste Vorgang, den Sie Ihrem Workflow hinzufügen. Daher ist der Ressourcenanbieter Microsoft Sentinel, der mehrere Authentifizierungsoptionen unterstützt. Weitere Informationen finden Sie in der folgenden Dokumentation:

• Authentifizieren von Playbooks für Microsoft Sentinel
• Unterstützte Trigger und Aktionen in Microsoft Sentinel Playbooks

Hinzufügen von Aktionen zu Ihrem Playbook

Nachdem Sie nun über einen Workflow für Ihr Playbook verfügen, definieren Sie, was geschieht, wenn Sie das Playbook aufrufen. Fügen Sie Aktionen, logische Bedingungen, Schleifen oder Switch-Case-Bedingungen hinzu, indem Sie das Pluszeichen (+) im Designer auswählen. Weitere Informationen finden Sie unter Erstellen eines Workflows mit einem Trigger oder einer Aktion.

Mit dieser Auswahl wird der Bereich Aktion hinzufügen geöffnet, in dem Sie nach Diensten, Anwendungen, Systemen, Ablaufsteuerungsaktionen und mehr suchen können. Nachdem Sie Ihre Suchbegriffe eingegeben oder die gewünschte Ressource ausgewählt haben, werden in der Ergebnisliste die verfügbaren Aktionen angezeigt.

Wenn Sie in jeder Aktion innerhalb eines Felds auswählen, erhalten Sie die folgenden Optionen:

• Dynamischer Inhalt (Blitzsymbol): Wählen Sie aus einer Liste der verfügbaren Ausgaben der vorherigen Aktionen im Workflow aus, einschließlich des Microsoft Sentinel Triggers. Diese Ausgaben können beispielsweise die Attribute eines Alarms oder Vorfalls enthalten, der an das Playbook weitergegeben wurde, einschließlich der Werte und Attribute aller Map-Datenfelder zu Entitäten und benutzerdefinierten Details in Warnungen im Alarm oder Vorfall. Sie können Verweise auf die aktuelle Aktion hinzufügen, indem Sie diese Ausgaben auswählen.

  Beispiele für die Verwendung dynamischer Inhalte finden Sie unter Verwenden von Entitäts-Playbooks ohne Vorfall-ID und Arbeiten mit benutzerdefinierten Details.

• Editor für Ausdrücke (Funktionssymbol): Wählen Sie aus einer großen Funktionsbibliothek, um Ihrem Workflow mehr Logik hinzuzufügen.

Weitere Informationen finden Sie unter Unterstützte Trigger und Aktionen in Microsoft Sentinel Playbooks.

Dynamischer Inhalt: Entitäts-Playbooks ohne Vorfall-ID

Playbooks, die mit dem Microsoft Sentinel-Entitätstrigger erstellt wurden, verwenden häufig das Feld Incident ARM ID, das die Azure Resource Manager-Kennung für den zugehörigen Vorfall enthält. Dieses Feld wird beispielsweise verwendet, um einen Vorfall nach einer Aktion auf die Entität zu aktualisieren. Wenn ein solches Playbook in einem Szenario ausgelöst wird, in dem keine Verbindung mit einem Incident besteht, z. B. bei der Bedrohungssuche, gibt es keine Incident-ID zum Auffüllen dieses Felds. Stattdessen wird das Feld mit einem NULL-Wert aufgefüllt. Dies hat zur Folge, dass das Playbook möglicherweise nicht bis zum Abschluss ausgeführt werden kann.

Um diesen Fehler zu verhindern, empfiehlt es sich, eine Bedingung zu erstellen, die nach einem Wert im Feld incident-ID sucht, bevor der Workflow andere Aktionen ausführt. Sie können ein anderes Set von Aktionen festlegen, die ausgeführt werden sollen, wenn das Feld einen Nullwert hat, weil das Playbook nicht von einem Vorfall aus ausgeführt wird.

1. Fügen Sie in Ihrem Workflow vor der ersten Aktion, die sich auf das Feld "Incident ARM ID " bezieht, eine Bedingungsaktion im Workflow-Designer hinzu.

2. Wählen Sie im Bereich Bedingung in der Bedingungszeile das linke Feld Wert auswählen und dann die Option dynamischer Inhalt (Blitzsymbol) aus.

3. Verwenden Sie in der Liste mit den dynamischen Inhalten unter Microsoft Sentinel Incident das Suchfeld, um incident ARM ID zu suchen und auszuwählen.

   Tipp

   Wenn die Ausgabe nicht in der Liste angezeigt wird, wählen Sie neben dem Triggernamen die Option Mehr anzeigen aus.

4. Wählen Sie im mittleren Feld aus der Operatorliste ist ungleich aus.

5. Wählen Sie im rechten Feld Wert auswählen die Option des Ausdruckseditors (Funktionssymbol) aus.

6. Geben Sie im Editor NULL ein, und wählen Sie Hinzufügen aus.

Wenn Sie fertig sind, sieht Ihre Bedingung ähnlich wie im folgenden Beispiel aus:

Dynamischer Inhalt: Arbeiten mit benutzerdefinierten Details

Im Microsoft Sentinel-Incident-Trigger ist die Ausgabe der benutzerdefinierten Alert-Details ein Array von JSON-Objekten, bei denen jedes ein benutzerdefiniertes Detail darstellt, wie in Surface benutzerdefinierten Details in Alerts beschrieben. Benutzerdefinierte Details sind Schlüssel-Wert-Paare, mit denen Sie Informationen von Ereignissen in der Warnung anzeigen können, damit sie als Teil des Incidents dargestellt, nachverfolgt und analysiert werden können.

Dieses Feld in der Warnung kann angepasst werden, sodass sein Schema vom Typ des angezeigten Ereignisses abhängt. Um das Schema zu generieren, das bestimmt, wie die Ausgabe der benutzerdefinierten Details geparst wird, geben Sie die Daten aus einer Instanz dieses Ereignisses an:

1. Wählen Sie im menü Microsoft Sentinel Arbeitsbereich unter Konfigurationdie Option Analyse aus.

2. Befolgen Sie die Schritte, um eine bestehende, geplante Analytics-Regel zu erstellen oder zu öffnen, oder eine NRT-Analytics-Regel zu erstellen.

3. Erweitern Sie auf der Registerkarte Regellogik festlegenden Abschnitt Benutzerdefinierte Details, z. B.:

   

   Die folgende Tabelle enthält weitere Informationen zu diesen Schlüssel-Wert-Paaren:

   Artikel	Standort	Beschreibung
   Key	Linke Spalte	Stellt die benutzerdefinierten Felder dar, die Sie erstellen.
   Wert	Rechte Spalte	Stellt die Felder aus den Ereignisdaten dar, die die benutzerdefinierten Felder auffüllen.

4. Geben Sie zum Generieren des Schemas den folgenden JSON-Beispielcode an:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   Der Code zeigt die Schlüsselnamen als Arrays und die Werte als Elemente in den Arrays an. Werte werden als die tatsächlichen Werte angezeigt, nicht als die Spalte, die die Werte enthält.

Führen Sie die folgenden Schritte für Ihren Workflow aus, um benutzerdefinierte Felder für Incidenttrigger zu verwenden:

1. Fügen Sie im Workflow-Designer unter Microsoft Sentinel Incidenttrigger die integrierte Aktion mit dem Namen JSON analysieren hinzu.

2. Wählen Sie im Parameter Content der Aktion und dann die Option dynamische Inhaltsliste (Blitzsymbol) aus.

3. Suchen Sie in der Liste im Bereich Vorfalls-Trigger nach Angepasste Details zur Warnung und wählen Sie diese aus, zum Beispiel:

   

   Diese Auswahl fügt automatisch eine For-Each-Schleife um Parse JSON hinzu, da ein Vorfall ein Array von Warnungen enthält.

4. Wählen Sie im Informationsbereich JSON analysieren die Option Beispielnutzlast zum Erzeugen eines Schemas verwenden aus, z. B.:

   

5. Geben Sie im Feld Eine JSON-Beispielnutzlast eingeben oder einfügen eine Beispielnutzlast an, und wählen Sie Fertig aus.

   Sie können beispielsweise eine Beispielnutzlast finden, indem Sie in Log Analytics nach einer weiteren instance dieser Warnung suchen und dann das benutzerdefinierte Detailobjekt kopieren, das Sie unter Erweiterte Eigenschaften finden. Um auf Log Analytics-Daten zuzugreifen, wechseln Sie entweder zur Seite Protokolle im Azure-Portal oder zur Seite Erweiterte Suche im Defender-Portal.

   Das folgende Beispiel zeigt die JSON-Beispielnutzlast für benutzerdefinierte Details aus Schritt 4 im Verfahren zur Schemagenerierung:

   

   Wenn Sie fertig sind, enthält das Feld Schema nun das generierte Schema basierend auf dem von Ihnen bereitgestellten Beispiel. Die Aktion JSON analysieren erstellt benutzerdefinierte Felder, die Sie jetzt als dynamische Felder mit array-Typ in den nachfolgenden Aktionen Ihres Workflows verwenden können.

   Das folgende Beispiel zeigt ein Array und seine Elemente sowohl im Schema als auch in der Liste der dynamischen Inhalte für eine nachfolgende Aktion namens Compose:

   

Verwalten Sie Ihre Playbooks

Wählen Sie die Registerkarte Automation > Active Playbooks aus, um alle Playbooks anzuzeigen, auf die Sie Zugriff haben, gefiltert nach Ihrer Abonnementansicht.

Nachdem Sie das Onboarding für das Microsoft Defender-Portal abgeschlossen haben, zeigt die Registerkarte Aktive Playbooks standardmäßig einen vordefinierten Filter mit dem Abonnement des eingebundenen Arbeitsbereichs an. Im Azure-Portal bearbeiten Sie die angezeigten Abonnements über das Menü Verzeichnis + Abonnement in der globalen Azure-Kopfzeile.

Während auf der Registerkarte Aktive Playbooks alle aktiven Playbooks angezeigt werden, die für alle ausgewählten Abonnements verfügbar sind, kann ein Playbook standardmäßig nur innerhalb des Abonnements verwendet werden, zu dem es gehört, es sei denn, Sie erteilen Microsoft Sentinel Berechtigungen für die Ressourcengruppe des Playbooks.

Auf der Registerkarte Aktive Playbooks werden Ihre Playbooks mit den folgenden Details angezeigt:

Wählen Sie ein Playbook aus, um die seite Azure Logic Apps zu öffnen, auf der weitere Details zum Playbook angezeigt werden. Auf der Seite Azure Logic Apps:

• Anzeigen eines Protokolls aller Ausführungen des Playbooks
• Anzeigen von Ausführungsergebnissen, einschließlich Erfolgen und Fehlern und anderen Details
• Wenn Sie über die entsprechenden Berechtigungen verfügen, öffnen Sie den Workflow-Designer in Azure Logic Apps, um das Playbook direkt zu bearbeiten.

Verwandte Inhalte

• Microsoft Sentinel-Playbooks automatisieren und ausführen
• Authentifizieren von Playbooks für Microsoft Sentinel
• Verwenden Sie ein Microsoft Sentinel-Playbook, um potenziell kompromittierte Benutzerkonten zu blockieren