Microsoft Sentinel-Automatisierungsregeln erstellen und verwenden, um Reaktionen zu verwalten

In diesem Artikel wird erläutert, wie Sie Automatisierungsregeln in Microsoft Sentinel erstellen und verwenden, um die Reaktion auf Bedrohungen zu verwalten und zu orchestrieren, um die Effizienz und Effektivität Ihres SOC zu maximieren.

In diesem Artikel erfahren Sie, wie Sie die Trigger und Bedingungen definieren, die bestimmen, wann Ihre Automatisierungsregel ausgeführt wird, die verschiedenen Aktionen, die Sie die Regel ausführen lassen können, sowie die verbleibenden Features und Funktionen.

Entwerfen Ihrer Automatisierungsregel

Bevor Sie Ihre Automatisierungsregel erstellen, empfehlen wir Ihnen, den Umfang und den Entwurf zu bestimmen, einschließlich des Triggers, der Bedingungen und der Aktionen, aus denen Ihre Regel besteht.

Bestimmen Sie den Umfang

Der erste Schritt beim Entwerfen und Definieren Ihrer Automatisierungsregel besteht darin, herauszufinden, auf welche Incidents oder Warnungen sie angewendet werden soll. Die Entscheidung, welche Vorfälle oder Warnungen die Regel betrifft, wirkt sich direkt auf die Erstellung der Regel aus.

Sie möchten auch Ihren Anwendungsfall bestimmen. Was versuchen Sie mit dieser Automatisierung zu erreichen? Ziehen Sie die folgenden Optionen in Betracht:

• Erstellen Sie Aufgaben, die Ihre Analysten bei der Selektierung, Untersuchung und Behebung von Vorfällen befolgen können.
• Unterdrücken sie laute Vorfälle. (Verwenden Sie alternativ andere Methoden, um falsch positive Ergebnisse in Microsoft Sentinel zu behandeln.)
• Bearbeiten Sie neue Vorfälle, indem Sie ihren Status von „Neu“ in „Aktiv“ ändern und einen Verantwortlichen zuweisen.
• Markieren Sie Vorfälle, um sie zu klassifizieren.
• Eskalieren eines Vorfalls durch Zuweisen eines neuen Besitzers.
• Schließen Sie gelöste Vorfälle, geben Sie einen Grund an und fügen Sie Kommentare hinzu.
• Analysieren Sie den Inhalt des Incidents (Warnungen, Entitäten und andere Eigenschaften), und ergreifen Sie weitere Maßnahmen, indem Sie ein Playbook aufrufen.
• Eine Warnung ohne zugehörigen Vorfall behandeln oder darauf reagieren.

Auslöser bestimmen

Möchten Sie, dass diese Automatisierungsregel aktiviert wird, wenn neue Vorfälle oder Warnungen erstellt werden? Oder immer, wenn ein Incident aktualisiert wird?

Automatisierungsregeln werden ausgelöst , wenn ein Incident erstellt oder aktualisiert wird oder wenn eine Warnung erstellt wird. Denken Sie daran, dass Incidents Warnungen enthalten und sowohl Warnungen als auch Incidents durch Analyseregeln erstellt werden können, von denen es mehrere Typen gibt, wie unter Bedrohungserkennung in Microsoft Sentinel erläutert.

Die folgende Tabelle zeigt die verschiedenen möglichen Szenarien, die dazu führen, dass eine Automatisierungsregel ausgeführt wird.

Erstellen Sie Ihre Automatisierungsregel

Die folgenden Schritte gelten für die meisten Szenarien zur Erstellung von Automatisierungsregeln.

Wenn Sie überflüssige Incidents unterdrücken möchten und im Azure-Portal arbeiten, können Sie False Positives behandeln.

Wenn Sie eine Automatisierungsregel erstellen möchten, die für eine bestimmte Analyseregel gelten soll, siehe Automatisierte Antworten festlegen und die Regel erstellen.

Um Ihre Automatisierungsregel zu erstellen:

1. Wählen Sie für Microsoft Sentinel im Azure-Portal die Seite Konfigurationsautomatisierung> aus. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Konfigurationsautomatisierung aus>.

2. Wählen Sie auf der Seite Automatisierung im Microsoft Sentinel Navigationsmenü im oberen Menü die Option Erstellen und dann Automatisierungsregel aus.

   • Defender-Portal
   • Azure-Portal

   

3. Der Bereich Neue Automatisierungsregel erstellen wird geöffnet. Geben Sie im Feld Name der Automatisierungsregel einen Namen für Ihre Regel ein.

Wählen Sie Ihren Trigger aus.

Wählen Sie im Trigger-Dropdown-Menü den Trigger aus, der mit dem Zeitpunkt übereinstimmt, an dem Sie die Automatisierungsregel ausführen sollen – wann ein Vorfall erstellt wird, wann der Vorfall aktualisiert wird oder wann eine Warnung erstellt wird.

Definieren von Bedingungen

Verwenden Sie die Optionen im Bereich Bedingungen , um Bedingungen für Ihre Automatisierungsregel zu definieren. Bei allen Bedingungen wird die Groß-/Kleinschreibung nicht beachtet.

• Regeln, die Sie beim Erstellen einer Warnung erstellen, unterstützen nur die Eigenschaft Name der If-Analyseregel in Ihrer Bedingung. Wählen Sie aus, ob die Regel inklusiv (Enthält) oder exklusiv (Enthält nicht) sein soll, und wählen Sie dann den Namen der Analyseregel aus der Dropdownliste aus.

  Werte für den Namen der Analyseregel enthalten nur Analyseregeln und keine anderen Arten von Regeln, z. B. Threat Intelligence oder Anomalieregeln.

• Regeln, die Sie beim Erstellen oder Aktualisieren eines Incidents erstellen, unterstützen je nach Umgebung eine Vielzahl von Bedingungen. Die verfügbaren Bedingungsoptionen hängen davon ab, ob Sie Microsoft Sentinel in das Defender Portal integriert haben:

  • In das Defender-Portal eingebunden
  • Nicht im Defender-Portal integriert

  Wenn Ihr Arbeitsbereich in das Defender-Portal integriert ist, wählen Sie zunächst einen der folgenden Operatoren im Azure oder im Defender-Portal aus:

  • AND: einzelne Bedingungen, die als Gruppe ausgewertet werden. Die Regel wird ausgeführt, wenn alle Bedingungen dieses Typs erfüllt sind.

    Um mit dem AND-Operator zu arbeiten, wählen Sie die Erweiterung + Hinzufügen und dann Bedingung (Und) aus der Dropdownliste aus. Die Liste der Bedingungen wird durch Felder für Incident-Eigenschaften und Entitätseigenschaften gefüllt.

  • OR (auch als Bedingungsgruppen bezeichnet): Gruppen von Bedingungen, von denen jede unabhängig ausgewertet wird. Die Regel wird ausgeführt, wenn eine oder mehrere Gruppen von Bedingungen erfüllt sind. Informationen zum Arbeiten mit diesen komplexen Arten von Bedingungen finden Sie unter Hinzufügen erweiterter Bedingungen zu Automatisierungsregeln.

  Zum Beispiel:

  

  Wenn Sie When an incident is updated (Wenn ein Incident aktualisiert wird ) als Trigger ausgewählt haben, definieren Sie zunächst Ihre Bedingungen, und fügen Sie dann bei Bedarf zusätzliche Operatoren und Werte hinzu.

Um Ihre Bedingungen zu definieren:

1. Wählen Sie im ersten Dropdownfeld auf der linken Seite eine Eigenschaft aus. Sie können mit der Eingabe eines beliebigen Teils eines Eigenschaftennamens in das Suchfeld beginnen, um die Liste dynamisch zu filtern, damit Sie schnell finden können, wonach Sie suchen.

   

2. Wählen Sie im nächsten Dropdownfeld rechts einen Operator aus.

   Die Liste der Operatoren, aus der Sie auswählen können, variiert je nach ausgewähltem Trigger und der ausgewählten Eigenschaft. Wenn Sie im Defender-Portal arbeiten, empfehlen wir, die Bedingung Name der Analyseregel anstelle eines Incident-Titels zu verwenden.

   Mit dem Erstellungstrigger verfügbare Bedingungen

   Eigenschaft	Operatorsatz
   - Titel – Beschreibung - Alle gelisteten Unternehmensimmobilien   (Siehe unterstützte Entitätseigenschaften)	- Gleich/Ist nicht gleich - Enthält/enthält nicht - Beginnt mit/Beginnt nicht mit – Endet auf/Endet nicht auf
   - Tag (siehe Einzel- vs. Sammlung)	Jeder einzelne Tag: - Gleich/Ist nicht gleich - Enthält/enthält nicht - Beginnt mit/Beginnt nicht mit – Endet auf/Endet nicht auf Sammlung aller Tags: - Enthält/enthält nicht
   - Schweregrad - Status - Benutzerdefinierter Details-Schlüssel	- Gleich/Ist nicht gleich
   - Taktiken - Produktnamen warnen - Wert benutzerdefinierter Details - Name der analytischen Regel	- Enthält/enthält nicht

   Mit dem Updatetrigger verfügbare Bedingungen

   Eigenschaft	Operatorsatz
   - Titel – Beschreibung - Alle gelisteten Unternehmensimmobilien   (Siehe unterstützte Entitätseigenschaften)	- Gleich/Ist nicht gleich - Enthält/enthält nicht - Beginnt mit/Beginnt nicht mit – Endet auf/Endet nicht auf
   - Tag (siehe Einzel- vs. Sammlung)	Jeder einzelne Tag: - Gleich/Ist nicht gleich - Enthält/enthält nicht - Beginnt mit/Beginnt nicht mit – Endet auf/Endet nicht auf Sammlung aller Tags: - Enthält/enthält nicht
   - Tag (zusätzlich zu oben genannt) – Warnungen - Kommentare	-Hinzugefügt
   - Schweregrad - Status	- Gleich/Ist nicht gleich -Geändert – Geändert von – Geändert in
   - Eigentümer	-Geändert. Wenn der Besitzer eines Incidents über die API aktualisiert wird, müssen Sie userPrincipalName oder ObjectID angeben, damit die Änderung von Automatisierungsregeln erkannt wird.
   - Aktualisiert von - Benutzerdefinierter Details-Schlüssel	- Gleich/Ist nicht gleich
   - Taktiken	- Enthält/enthält nicht -Hinzugefügt
   - Produktnamen warnen - Wert benutzerdefinierter Details - Name der analytischen Regel	- Enthält/enthält nicht

   Für den Alarmauslöser verfügbare Bedingungen

   Die einzige Bedingung, die von Regeln auf der Grundlage des Triggers zur Warnungserstellung ausgewertet werden kann, ist, welche Microsoft Sentinel-Analyseregel die Warnung erstellt hat.

   Automatisierungsregeln, die auf dem Warnungstrigger basieren, werden nur für Warnungen ausgeführt, die von Microsoft Sentinel erstellt wurden.

3. Geben Sie einen Wert in das Feld auf der rechten Seite ein. Abhängig von der ausgewählten Eigenschaft kann dies entweder ein Textfeld oder eine Dropdownliste sein, in der Sie aus einer geschlossenen Liste von Werten auswählen. Möglicherweise können Sie auch mehrere Werte hinzufügen, indem Sie das Würfelsymbol rechts neben dem Textfeld auswählen.

   

Informationen zum Festlegen komplexer Oder-Bedingungen mit unterschiedlichen Feldern finden Sie unter Hinzufügen erweiterter Bedingungen zu Automatisierungsregeln.

Bedingungen basierend auf Tags

Sie können zwei Arten von Bedingungen basierend auf Tags erstellen:

• Bedingungen mit Operatoren für beliebige einzelne Tags prüfen den angegebenen Wert anhand jedes Tags in der Sammlung. Die Auswertung ist true, wenn mindestens ein Tag die Bedingung erfüllt.
• Bedingungen mit den Operatoren Sammlung aller Tags werten den angegebenen Wert anhand der Gesamtheit aller Tags als eine Einheit aus. Die Auswertung ist nur true , wenn die Sammlung als Ganzes die Bedingung erfüllt.

Führen Sie die folgenden Schritte aus, um eine dieser Bedingungen basierend auf den Tags eines Incidents hinzuzufügen:

1. Erstellen Sie wie oben beschrieben eine neue Automatisierungsregel.

2. Fügen Sie eine Bedingung oder eine Bedingungsgruppe hinzu.

3. Wählen Sie Tag aus der Dropdownliste „Eigenschaften“ aus.

4. Wählen Sie die Dropdownliste „Operatoren“ aus, um die verfügbaren Operatoren zur Auswahl anzuzeigen.

   • Hinzugefügte Arbeitsbereiche
   • Nicht eingebundene Arbeitsbereiche

   

   Die Operatoren sind in zwei Kategorien unterteilt: Jedes einzelne Tag und eine Sammlung aller Tags. Wählen Sie Ihren Operator sorgfältig aus, je nachdem, wie die Tags ausgewertet werden sollen.

   Weitere Informationen finden Sie unter Eigenschaft „Tag“: einzeln oder Sammlung.

Bedingungen basierend auf benutzerdefinierten Details

Sie können den Wert eines benutzerdefinierten Details, das in einem Incident angezeigt wird , als Bedingung einer Automatisierungsregel festlegen. Denken Sie daran, dass benutzerdefinierte Details Datenpunkte in unformatierten Ereignisprotokolldatensätzen sind, die in Warnungen und den daraus generierten Vorfällen angezeigt werden können. Verwenden Sie benutzerdefinierte Details, um auf die tatsächlich relevanten Inhalte in Ihren Warnungen zu gelangen, ohne die Abfrageergebnisse durchsuchen zu müssen.

Bekannte Einschränkung: Bei Verwendung benutzerdefinierter Detailwerte wird der Operator Does not contain bei Vorhandensein mehrerer (zwei oder mehr) verschiedener Werte möglicherweise nicht korrekt ausgewertet.

Um eine Bedingung basierend auf einem benutzerdefinierten Detail hinzuzufügen:

1. Erstellen Sie eine neue Automatisierungsregel, wie in " Erstellen Ihrer Automatisierungsregel" beschrieben.

2. Fügen Sie eine Bedingung oder eine Bedingungsgruppe hinzu.

3. Wählen Sie in der Dropdownliste „Eigenschaften“ die Option Benutzerdefinierter Detailschlüssel aus. Wählen Sie Gleich oder Ist nicht gleich aus der Operatoren-Dropdownliste aus.

   Für die benutzerdefinierte Detailbedingung stammen die Werte in der letzten Dropdownliste aus den benutzerdefinierten Details, die in allen in der ersten Bedingung aufgeführten Analyseregeln angezeigt wurden. Wählen Sie das benutzerdefinierte Detail aus, das Sie als Bedingung verwenden möchten.

   

4. Sie haben das Feld ausgewählt, das Sie für diese Bedingung auswerten möchten. Geben Sie nun den Wert an, der in diesem Feld angezeigt wird, wodurch diese Bedingung als true ausgewertet wird.
   Wählen Sie + Elementbedingung hinzufügen aus.

   

   Die Wertbedingungszeile wird unten angezeigt.

   

5. Wählen Sie in der Operatoren-Dropdownliste Enthält oder Nicht enthalten aus. Geben Sie im Textfeld rechts den Wert ein, für den die Bedingung als true ausgewertet werden soll.

   

Wenn der Incident in diesem Beispiel das benutzerdefinierte Detail DestinationEmail aufweist und der Wert dieses Details ist pwned@bad-botnet.com, werden die in der Automatisierungsregel definierten Aktionen ausgeführt.

Aktionen hinzufügen

Wählen Sie die Aktionen aus, die diese Automatisierungsregel ausführen soll. Zu den verfügbaren Aktionen gehören Besitzer zuweisen, status ändern, Schweregrad ändern, Tags hinzufügen und Playbook ausführen. Sie können beliebig viele Aktionen hinzufügen.

Wenn Ihr Arbeitsbereich für das Microsoft Defender-Portal integriert wurde, erweitert Simple Flows (Vorschau) diese Liste um weitere vorgefertigte Aktionen für Fälle und Warnungen, die kein Playbook erfordern: E-Mail senden, wenn ein Fall erstellt/aktualisiert wurde oder die SLA überschritten wurde, Fall aktualisieren, Aufgabe hinzufügen und Warnung aktualisieren.

Unabhängig davon, für welche Aktion Sie sich entscheiden, füllen Sie die für die gewählte Aktion angezeigten Felder entsprechend dem gewünschten Ergebnis aus.

Wenn Sie eine Aktion Playbook ausführen hinzufügen, werden Sie aufgefordert, aus der Dropdownliste der verfügbaren Playbooks auszuwählen.

• Nur Playbooks, die mit dem Vorfalltrigger beginnen, können über Automatisierungsregeln mithilfe eines der Vorfalltrigger ausgeführt werden, daher werden auch nur diese in der Liste angezeigt. Ebenso sind mithilfe des Warnungstriggers nur Playbooks verfügbar, die mit dem Warnungstrigger beginnen.

• Microsoft Sentinel muss explizite Berechtigungen erhalten, um Playbooks auszuführen. Wenn ein Playbook in der Dropdownliste nicht verfügbar angezeigt wird, bedeutet dies, dass Sentinel keine Berechtigungen für den Zugriff auf die Ressourcengruppe dieses Playbooks hat. Wählen Sie zum Zuweisen von Berechtigungen den Link Playbookberechtigungen verwalten aus.

  Aktivieren Sie im daraufhin angezeigten Bereich Berechtigungen verwalten die Kontrollkästchen der Ressourcengruppen, die die auszuführenden Playbooks enthalten, und wählen Sie Anwenden aus.

  

  Sie selbst müssen über Besitzerberechtigungen für jede Ressourcengruppe verfügen, der Sie Microsoft Sentinel Berechtigungen erteilen möchten, und Sie müssen über die Rolle Microsoft Sentinel Automation-Mitwirkender für jede Ressourcengruppe verfügen, die Playbooks enthält, die Sie ausführen möchten.

• Wenn Sie noch kein Playbook haben, das die gewünschte Aktion ausführt, erstellen Sie ein neues Playbook. Sie müssen den Erstellungsprozess für Automatisierungsregeln beenden und nach dem Erstellen Ihres Playbooks neu starten.

Verschieben von Aktionen

Sie können die Reihenfolge der Aktionen in Ihrer Regel auch ändern, nachdem Sie sie hinzugefügt haben. Wählen Sie die blauen Pfeile nach oben oder unten neben jeder Aktion aus, um sie um einen Schritt nach oben oder unten zu verschieben.

Abschließen der Erstellung Ihrer Regel

Schließen Sie die verbleibenden Einstellungen ab, um Ihre Automatisierungsregel abzuschließen:

1. Wenn Ihre Automatisierungsregel ablaufen soll, legen Sie unter Regelablauf ein Ablaufdatum und optional eine Uhrzeit fest. Andernfalls behalten Sie die Option Unbestimmt bei.

2. Das Feld Order ist mit der nächsten verfügbaren Nummer für den Triggertyp Ihrer Regel ausgefüllt. Diese Zahl bestimmt, wo diese Regel in der Sequenz von Automatisierungsregeln (desselben Triggertyps) ausgeführt wird. Sie können die Zahl ändern, wenn diese Regel vor einer vorhandenen Regel ausgeführt werden soll.

   Weitere Informationen finden Sie unter Hinweise zur Ausführungsreihenfolge und -priorität.

3. Wählen Sie Anwenden aus. Sie sind fertig!

Überwachen der Aktivität der Automatisierungsregeln

Finden Sie heraus, was Automatisierungsregeln für einen bestimmten Incident getan haben könnten. Sie verfügen über einen vollständigen Datensatz der Vorfallschroniken in der Tabelle SecurityIncident auf der Seite Protokolle im Azure-Portal bzw. auf der Seite Erweiterte Suche im Defender-Portal. Die folgende Kusto-Abfrage ruft alle Vorfälle ab, die von einer Automatisierungsregel geändert wurden, sodass Sie überprüfen können, welche Aktionen automatisch ausgeführt wurden:

SecurityIncident
| where ModifiedBy contains "Automation"

Ausführung von Automatisierungsregeln

Automatisierungsregeln werden sequenziell gemäß der von Ihnen angegebenen Reihenfolge ausgeführt. Jede Automatisierungsregel wird ausgeführt, nachdem die vorherige ihren Durchlauf abgeschlossen hat. Innerhalb einer Automatisierungsregel werden alle Aktionen sequenziell in der Reihenfolge ausgeführt, in der sie definiert sind. Weitere Informationen finden Sie unter Hinweise zur Ausführungsreihenfolge und -priorität .

Playbookaktionen innerhalb einer Automatisierungsregel können unter bestimmten Umständen gemäß den folgenden Kriterien unterschiedlich behandelt werden:

Verwandte Inhalte

• Fügen Sie erweiterte Bedingungen zu den Automatisierungsregeln von Microsoft Sentinel hinzu.
• Automatisierung der Vorfallbehandlung in Microsoft Sentinel mit Automatisierungsregeln
• Automatisierte Bedrohungsreaktion mit Playbooks in Microsoft Sentinel.
• Erstellen Sie Vorfall-Aufgaben in Microsoft Sentinel mithilfe von Automatisierungsregeln.
• Migriere deine Microsoft Sentinel Alert-Trigger-Playbooks zu Automatisierungsregeln
• Tutorial: Verwenden Sie Playbooks, um Bedrohungsreaktionen in Microsoft Sentinel zu automatisieren.