Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden die Trigger und Aktionen beschrieben, die vom Logic Apps Microsoft Sentinel-Connector unterstützt werden. Verwenden Sie die aufgeführten Trigger und Aktionen in Microsoft Sentinel Playbooks, um mit Ihren Microsoft Sentinel Daten zu interagieren.
Wichtig
Die erwähnte Funktionalität befindet sich derzeit in der VORSCHAU. Weitere rechtliche Bestimmungen, die für Azure Features gelten, die sich in beta, in der Vorschauversion oder anderweitig noch nicht in der allgemeinen Verfügbarkeit befinden, finden Sie in den ergänzenden Nutzungsbedingungen für Microsoft Azure Previews.
Voraussetzungen
Bevor Sie beginnen, stellen Sie sicher, dass Sie über die folgenden Azure Berechtigungen verfügen, um Microsoft Sentinel Connectorkomponenten zu verwenden:
| Rolle | Verwenden von Triggern | Verfügbare Aktionen abrufen | Vorfall bei einem Update, Hinzufügen eines Kommentars |
|---|---|---|---|
| Microsoft Sentinel Reader | ✓ | ✓ | - |
| Microsoft Sentinel Responder/Mitwirkender | ✓ | ✓ | ✓ |
Weitere Informationen finden Sie unter Rollen und Berechtigungen in Microsoft Sentinel und Voraussetzungen für die Arbeit mit Microsoft Sentinel Playbooks.
Unterstützte Microsoft Sentinel Trigger
Der Microsoft Sentinel Connector und daher Microsoft Sentinel Playbooks unterstützen die folgenden Trigger:
Microsoft Sentinel Incident. Empfohlen für die meisten Incidentautomatisierungsszenarien.
Das Playbook empfängt Incidentobjekte, einschließlich Entitäten und Warnungen. Mit diesem Trigger können Sie ein Playbook an eine Automatisierungsregel anfügen, die ausgelöst werden kann, wenn ein Incident in Microsoft Sentinel erstellt oder aktualisiert wird, wobei alle Vorteile von Automatisierungsregeln auf den Incident angewendet werden.
Microsoft Sentinel-Warnmeldung (Vorschau). Empfohlen für Playbooks, die manuell auf Warnungen oder für geplante Analyseregeln ausgeführt werden müssen, die keine Vorfälle für ihre Warnungen generieren.
- Dieser Trigger kann nicht verwendet werden, um Antworten auf Warnungen zu automatisieren, die von Microsoft-Sicherheitsanalyseregeln generiert werden.
- Playbooks, die diesen Trigger verwenden, können nicht von Automatisierungsregeln aufgerufen werden.
Microsoft Sentinel Entität. Empfohlen für Playbooks, die manuell für bestimmte Entitäten aus einem Untersuchungs- oder Bedrohungssuchkontext ausgeführt werden müssen. Playbooks, die diesen Trigger verwenden, können nicht von Automatisierungsregeln aufgerufen werden.
Die von diesen Flows verwendeten Schemas sind nicht identisch. Wir empfehlen, für die meisten Szenarien den Microsoft Sentinel-Vorfalltrigger-Ablauf zu verwenden.
Dynamische Incidentfelder
Das Incident-Objekt, das von Microsoft Sentinel Incident empfangen wurde, enthält die folgenden dynamischen Felder:
| Feldname | Beschreibung |
|---|---|
| Incidenteigenschaften | Als Incident angezeigt: <Feldname> |
| Benachrichtigungen | Ein Array der folgenden Eigenschaften der Warnung, dargestellt als Warnung: <Feldname>. Da jeder Incident mehrere Warnungen enthalten kann, generiert die Auswahl einer Warnungseigenschaft automatisch eine für jede Schleife, um alle Warnungen im Incident abzudecken. |
| Entities | Ein Array aller Entitäten der Warnung |
| Felder für Arbeitsbereichsinformationen | Details zum Microsoft Sentinel Arbeitsbereich, in dem der Vorfall erstellt wurde, einschließlich: – Abonnement-ID – Arbeitsbereichsname – Arbeitsbereichs-ID – Ressourcengruppenname |
Bekannte Probleme und Einschränkungen
Das Umbenennen eines Triggers in einer Logik-App wird derzeit nicht unterstützt. Durch das Ändern des Triggernamens werden Integrationen in Automatisierungsworkflows und Microsoft Sentinel unterbrochen, da diese Dienste für die Konnektivität auf dem ursprünglichen Triggernamen basieren.
Unterstützte Microsoft Sentinel-Aktionen
Der Microsoft Sentinel-Connector und daher Microsoft Sentinel Playbooks unterstützen die folgenden Aktionen:
| Aktion | Wann sollte es verwendet werden? |
|---|---|
| Warnung – Incident abrufen | In Playbooks, die mit dem Warnungstrigger beginnen. Nützlich zum Abrufen der Incidenteigenschaften oder zum Abrufen der INCIDENT-ARM-ID zur Verwendung mit den Aktionen Incident aktualisieren oder Kommentar zu Incident hinzufügen . |
| Incident abrufen | Wenn ein Playbook über eine externe Quelle oder mit einem Nicht-Sentinel-Trigger ausgelöst wird. Identifizieren Sie sich mit einer Incident-ARM-ID. Ruft die Eigenschaften des Incidents und die Kommentare ab. |
| Incident aktualisieren | Um den Status eines Incidents zu ändern (z. B. beim Schließen des Incidents), weisen Sie einen Besitzer zu, fügen oder entfernen Sie ein Tag oder ändern den Schweregrad, den Titel oder die Beschreibung. |
| Hinzufügen von Kommentaren zum Incident | Zum Anreichern des Incidents mit aus externen Quellen gesammelten Informationen; zum Überprüfen der vom Playbook auf die Entitäten angewendeten Maßnahmen; zur Bereitstellung zusätzlicher Informationen, die für die Untersuchung des Incidents nützlich sind. |
| Entitäten – <Entitätstyp abrufen> | In Playbooks, die mit einem bestimmten Entitätstyp (IP, Konto, Host, **URL oder FileHash) arbeiten, der zum Zeitpunkt der Playbookerstellung bekannt ist, und Sie müssen in der Lage sein, ihn zu analysieren und an seinen eindeutigen Feldern zu arbeiten. |
Tipp
Die Aktionen Incident aktualisieren und Kommentar zu Incident hinzufügen erfordern die INCIDENT-ARM-ID.
Verwenden Sie zuvor die Aktion Alert – Incident abrufen, um die Incident ARM ID abzurufen.
Unterstützte Entitätstypen
Das dynamische Feld Entitäten ist ein Array von JSON-Objekten, von denen jedes eine Entität darstellt. Jeder Entitätstyp verfügt abhängig von seinen eindeutigen Eigenschaften über ein eigenes Schema.
Die Aktion "Entitäten – Entitätstyp< abrufen>" ermöglicht Folgendes:
- Filtern Sie das Array von Entitäten nach dem angeforderten Typ.
- Analysieren Sie die spezifischen Felder dieses Typs, damit sie in weiteren Aktionen als dynamische Felder verwendet werden können.
Die Eingabe ist das dynamische Feld Entitäten .
Die Antwort ist ein Array von Entitäten, in dem die speziellen Eigenschaften analysiert werden und direkt in einer For each-Schleife verwendet werden können.
Zu den derzeit unterstützten Entitätstypen gehören:
Die folgende Abbildung zeigt ein Beispiel für verfügbare Aktionen für Entitäten:
Für andere Entitätstypen können ähnliche Funktionen mithilfe der integrierten Aktionen von Logic Apps erreicht werden:
Filtern Sie das Array von Entitäten nach dem angeforderten Typ mithilfe von Filterarray.
Analysieren Sie die spezifischen Felder dieses Typs, damit sie in weiteren Aktionen mithilfe von JSON analysieren als dynamische Felder verwendet werden können.
Verwandte Inhalte
Weitere Informationen finden Sie unter: