Verwenden von Tasks zum Verwalten von Incidents in Microsoft Sentinel im Azure-Portal

  • Gilt für:: Microsoft Sentinel in the Azure portal

In diesem Artikel wird erläutert, wie Sie Vorfallaufgaben in Microsoft Sentinel verwenden, um die schritte zu standardisieren und nachzuverfolgen, die Ihr Team beim Triagieren, Untersuchen und Reagieren auf Vorfälle befolgt. Sie können Aufgaben manuell hinzufügen oder die Aufgabenerstellung automatisieren, indem Sie Automatisierungsregeln und Playbooks verwenden.

Einer der wichtigsten Faktoren für die effektive und effiziente Ausführung Ihrer Sicherheitsvorgänge (SecOps) ist die Standardisierung von Prozessen. Von SecOps-Analysten wird erwartet, dass sie eine Liste von Schritten oder Aufgaben ausführen, um einen Incident zu selektieren, zu untersuchen oder zu beheben. Die Standardisierung und Formalisierung der Aufgabenliste kann dazu beitragen, dass Ihr SOC reibungslos ausgeführt wird, und sicherstellen, dass die gleichen Anforderungen für alle Analysten gelten. Mit diesem standardisierten Prozess erhält ein Vorfall unabhängig davon, wer gerade Dienst hat, immer dieselbe Bearbeitung und dieselben SLAs. Analysten müssen keine Zeit damit verbringen, darüber nachzudenken, was zu tun ist, oder sich Gedanken darüber machen, einen kritischen Schritt zu verpassen. Diese Schritte werden vom SOC-Manager oder leitenden Analysten (Ebene 2/3) basierend auf allgemeinen Sicherheitskenntnissen (z. B. NIST), ihren Erfahrungen mit früheren Vorfällen oder empfehlungen des Sicherheitsanbieters definiert, der den Vorfall erkannt hat.

Wann Vorfallaufgaben verwendet werden

Incident-Aufgaben sind in folgenden Szenarien nützlich:

  • Ihre SOC-Analysten können eine einzige zentrale Checkliste verwenden, um die Prozesse der Selektierung und Untersuchung von sowie der Reaktion auf Vorfälle zu verarbeiten, ohne sich Sorgen machen zu müssen, dass ein kritischer Schritt vergessen wird.

  • Ihre SOC-Techniker oder leitenden Analysten können die Standards für die Reaktion auf Vorfälle in den Teams und Schichten der Analysten dokumentieren, aktualisieren und abstimmen. Sie können auch Prüflisten mit Aufgaben erstellen, um neue Analysten oder Analysten zu schulen, die auf neue Arten von Vorfällen stoßen.

  • Als SOC-Manager oder MSSP können Sie sicherstellen, dass Incidents in Übereinstimmung mit den relevanten SLAs/SOPs behandelt werden.

Voraussetzungen

Die rolle "Microsoft Sentinel Responder" ist erforderlich, um Automatisierungsregeln zu erstellen und Incidents anzuzeigen und zu bearbeiten, die beide zum Hinzufügen, Anzeigen und Bearbeiten von Aufgaben erforderlich sind.

Die Logic Apps-Mitwirkendenrolle ist erforderlich, um Playbooks zu erstellen und zu bearbeiten.

Szenarien für die Vorfallaufgabenverwaltung

Incident Task Management-Szenarien variieren je nachdem, ob Sie Analyst oder Workflow-Ersteller sind.

Analystenszenarien

Die folgenden Szenarien zeigen, wie Analysten Vorfallaufgaben während Untersuchungen einsetzen können.

Befolgen Sie Aufgaben bei der Bearbeitung eines Vorfalls

Wenn Sie einen Incident auswählen und vollständige Details anzeigen, werden auf der Seite mit den Incidentdetails im rechten Bereich alle Aufgaben angezeigt, die diesem Incident hinzugefügt wurden, ob manuell oder durch Automatisierungsregeln.

Erweitern Sie eine Aufgabe, um ihre vollständige Beschreibung anzuzeigen, einschließlich des Benutzers, der Automatisierungsregel oder des Playbooks, von dem/der sie erstellt wurde.

Markieren Sie eine Aufgabe als abgeschlossen, indem Sie den zugehörigen Kontrollkästchenkreis aktivieren.

Screenshot des Bereichs

Aufgaben direkt zu einem Vorfall hinzufügen

Sie können Aufgaben zu einem offenen Vorfall hinzufügen, an dem Sie gerade arbeiten, um sich entweder Erinnerungen an Aktionen zu geben, die Sie als notwendig erkannt haben, oder um Aktionen aufzuzeichnen, die Sie aus eigener Initiative ergriffen haben und die nicht in der Aufgabenliste angezeigt werden. Aufgaben, die einem Vorfall manuell hinzugefügt wurden, gelten nur für diesen Vorfall.

Szenarien für Workflow-Ersteller

Die folgenden Szenarien beschreiben, wie Workflow-Ersteller Aufgaben automatisch hinzufügen und verwalten können.

Aufgaben zu Vorfällen mit Automatisierungsregeln hinzufügen

Verwenden Sie die Aktion Aufgabe hinzufügen in Automatisierungsregeln, um automatisch für alle Incidents eine Prüfliste mit Aufgaben für Ihre Analysten bereitzustellen. Legen Sie die Bedingung Für den Namen der Analyseregel in Ihrer Automatisierungsregel fest, um den Bereich zu bestimmen:

  • Wenden Sie die Automatisierungsregel auf alle Analyseregeln an, um einen Standardsatz von Aufgaben zu definieren, die auf alle Incidents angewendet werden sollen.

  • Indem Sie Ihre Automatisierungsregel auf einen begrenzten Satz von Analyseregeln anwenden, können Sie bestimmten Vorfällen bestimmte Aufgaben zuweisen, je nachdem, welche Bedrohungen von der Analyseregel oder den Regeln erkannt wurden, die diese Vorfälle generiert haben.

Beachten Sie, dass die Reihenfolge, in der Aufgaben in Ihrem Incident angezeigt werden, durch die Erstellungszeit der Aufgaben bestimmt wird. Sie können die Reihenfolge der Automatisierungsregeln so festlegen, dass Regeln, die aufgaben hinzufügen, die für alle Incidents erforderlich sind, zuerst und erst danach alle Regeln ausgeführt werden, die für Incidents erforderlich sind, die von bestimmten Analyseregeln generiert werden. Innerhalb einer einzelnen Regel bestimmt die Reihenfolge, in der die Aktionen definiert werden, die Reihenfolge, in der sie in einem Incident angezeigt werden.

Überprüfen Sie, welche Incidents von vorhandenen Automatisierungsregeln und -aufgaben abgedeckt werden, bevor Sie eine neue Automatisierungsregel erstellen.
Verwenden Sie den Filter Aktion in der Liste Automatisierungsregeln , um nur die Regeln anzuzeigen, die Incidents Aufgaben hinzufügen, und um zu sehen, auf welche Analyseregeln diese Automatisierungsregeln angewendet werden, um zu verstehen, welchen Incidents diese Aufgaben hinzugefügt werden.

Hinzufügen von Aufgaben zu Vorfällen mit Playbooks

Verwenden Sie die Aktion Aufgabe hinzufügen in einem Playbook (im Microsoft Sentinel Connector), um dem Incident, der das Playbook ausgelöst hat, automatisch eine Aufgabe hinzuzufügen.

Verwenden Sie dann andere Playbook-Aktionen in ihren jeweiligen Logic Apps-Connectors, um den Inhalt der Aufgabe abzuschließen.

Verwenden Sie abschließend die Aktion Aufgabe als abgeschlossen markieren (erneut im Microsoft Sentinel Connector), um die Aufgabe automatisch als abgeschlossen zu markieren.

Betrachten Sie die folgenden Szenarien als Beispiele:

  • Lassen Sie die Playbooks Aufgaben hinzufügen und erledigen: Wenn ein Vorfall erzeugt wird, löst er ein Playbook aus, das Folgendes tut:

    1. Fügt dem Incident eine Aufgabe hinzu, um das Kennwort eines Benutzers zurückzusetzen.
    2. Führt die Aufgabe aus, indem ein API-Aufruf an das Benutzerbereitstellungssystem ausgegeben wird, um das Kennwort des Benutzers zurückzusetzen.
    3. Wartet auf eine Antwort des Systems auf den Erfolg oder Fehler des Zurücksetzens.
      • Wenn die Kennwortzurücksetzung erfolgreich war, markiert das Playbook die von ihm soeben im Vorfall erstellte Aufgabe als abgeschlossen.
      • Wenn bei der Kennwortzurücksetzung ein Fehler aufgetreten ist, markiert das Playbook die Aufgabe nicht als abgeschlossen, sodass sie einem Analysten überlassen wird.

  • Lass das Playbook bewerten, ob bedingte Aufgaben hinzugefügt werden sollten: Wenn ein Vorfall erzeugt wird, löst er ein Playbook aus, das einen IP-Adressbericht von einer externen Bedrohungsinformationsquelle anfordert.

    • Wenn die IP-Adresse böswillig ist, fügt das Playbook eine bestimmte Aufgabe hinzu (z. B. "Diese IP-Adresse blockieren").
    • Andernfalls ergreift das Playbook keine weiteren Maßnahmen.

Verwenden Sie Automatisierungsregeln oder Playbooks zum Hinzufügen von Aufgaben?

Welche Überlegungen sollten bestimmen, ob Automatisierungsregeln oder Playbooks zum Erstellen von Vorfallaufgaben verwendet werden sollen?

  • Automatisierungsregeln: Verwenden Sie wann immer möglich. Wird für einfache, statische Aufgaben verwendet, die keine Interaktivität erfordern.
  • Playbooks: Verwenden Sie für fortgeschrittene Anwendungsfälle wie das Erstellen von Aufgaben basierend auf Bedingungen oder das Erstellen von Aufgaben mit integrierten automatisierten Aktionen.

Verwandte Inhalte

  • Last updated on