Microsoft Sentinel-Playbooks aus Vorlagen erstellen und anpassen

Eine Playbookvorlage ist ein vordefinierter, getesteter und einsatzbereiter Automatisierungsworkflow für Microsoft Sentinel, der an Ihre Anforderungen angepasst werden kann. Vorlagen können auch als Referenz für bewährte Methoden bei der Entwicklung von Playbooks von Grund auf oder als Inspiration für neue Automatisierungsszenarien dienen.

Playbook-Vorlagen sind nicht selbst aktive Playbooks, und Sie müssen eine bearbeitbare Kopie für Ihre Bedürfnisse erstellen.

Viele Playbookvorlagen werden von der Microsoft Sentinel Community, unabhängigen Softwareanbietern (INDEPENDENT Software Vendors, ISVs) und Microsoft-experten entwickelt, die auf beliebten Automatisierungsszenarien basieren, die von Sicherheitsbetriebszentren auf der ganzen Welt verwendet werden.

Voraussetzungen

Zum Erstellen und Verwalten von Playbooks benötigen Sie Zugriff auf Microsoft Sentinel mit einer der folgenden Azure Rollen:

• Logik-App-Mitwirkender zum Bearbeiten und Verwalten von Logik-Apps
• Logik-App-Operator zum Lesen, Aktivieren und Deaktivieren von Logik-Apps

Weitere Informationen finden Sie unter Voraussetzungen für Microsoft Sentinel Playbook.

Es wird empfohlen, Azure Logic Apps für Microsoft Sentinel Playbooks zu lesen, bevor Sie Ihr Playbook erstellen.

Zugriff auf Playbook-Vorlagen

Greifen Sie aus den folgenden Quellen auf Playbookvorlagen zu:

Technisch gesehen ist eine Playbookvorlage eine ARM-Vorlage (Azure Resource Manager), die aus mehreren Ressourcen besteht: einem Azure Logic Apps-Workflow und API-Verbindungen für jede beteiligte Verbindung.

Das folgende Verfahren konzentriert sich auf das Bereitstellen einer Playbook-Vorlage aus dem Playbook-Vorlagen-Tab unter Automatisierung.

Playbook-Vorlagen erkunden

Wählen Sie für Microsoft Sentinel im Azure-Portal die Seite Content Management>Content Hub aus. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Content Management>Content Hub aus.

Wählen Sie auf der Seite Inhaltshubdie Option Inhaltstyp aus, um nach Playbook zu filtern. Die gefilterte Content-Hub-Seite listet alle Lösungen und eigenständigen Inhalte auf, die eine oder mehrere Playbook-Vorlagen enthalten. Installieren Sie die Lösung oder den eigenständigen Inhalt, um die Vorlage abzurufen.

Um die installierten Vorlagen anzuzeigen, wählen Sie die Registerkarte Konfiguration>Automatisierung>Playbook-Vorlagen aus. Zum Beispiel:

Um eine Playbookvorlage zu finden, die Ihren Anforderungen entspricht, filtern Sie die Liste nach den folgenden Kriterien:

Zum Beispiel:

Anpassen eines Playbooks aus einer Vorlage

Die folgenden Schritte beschreiben, wie man Playbook-Vorlagen bereitstellt, und können wiederholt werden, um mehrere Playbooks aus derselben Vorlage zu erstellen.

Obwohl die meisten Playbookvorlagen so verwendet werden können, wie sie sind, empfehlen wir, sie nach Bedarf anzupassen, um Ihr Playbook an Ihre SOC-Anforderungen anzupassen.

1. Wählen Sie auf der Registerkarte Playbookvorlagen ein Playbook aus, mit dem Sie beginnen möchten.

2. Wenn das Playbook bestimmte Voraussetzungen aufweist, müssen Sie die Anweisungen befolgen. Zum Beispiel:

   • Einige Playbooks rufen andere Playbooks als Aktionen auf. Das sogenannte Playbook wird als verschachteltes Playbook bezeichnet. In einem solchen Fall besteht eine der Voraussetzungen darin, zuerst das geschachtelte Playbook bereitzustellen.

   • Einige Playbooks erfordern die Bereitstellung eines benutzerdefinierten Logic Apps-Connectors oder einer Azure-Funktion. In solchen Fällen gibt es einen Link Bereitstellen in Azure, der Sie zum allgemeinen Bereitstellungsprozess für ARM-Vorlagen führt.

3. Wählen Sie Playbook erstellen aus, um den Assistenten zum Erstellen eines Playbooks basierend auf der ausgewählten Vorlage zu öffnen. Der Assistent verfügt über vier Registerkarten:

   • Grundlagen: Suchen Sie Ihr neues Playbook, bei dem es sich um eine Logic Apps-Ressource handelt, und geben Sie ihr einen Namen. Sie können die Standardeinstellung verwenden. Zum Beispiel:

     

   • Parameter: Geben Sie kundenspezifische Werte ein, die das Playbook verwendet. Wenn das Playbook beispielsweise eine E-Mail an das SOC sendet, definieren Sie die Empfängeradresse. Wenn für das Playbook ein benutzerdefinierter Connector verwendet wird, muss es in derselben Ressourcengruppe bereitgestellt werden, und Sie werden aufgefordert, seinen Namen auf der Registerkarte Parameter einzugeben.

     Die Registerkarte Parameter wird nur angezeigt, wenn das Playbook Parameter enthält. Zum Beispiel:

     

   • Verbindungen: Erweitern Sie jede Aktion, um die vorhandenen Verbindungen anzuzeigen, die Sie für frühere Playbooks erstellt haben. Sie können vorhandene Verbindungen verwenden oder eine neue erstellen. Zum Beispiel:

     

     • Um eine neue Verbindung zu erstellen, wählen Sie Neue Verbindung nach der Bereitstellung erstellen aus. Die Option " Neue Verbindung nach der Bereitstellung erstellen" führt Sie nach Abschluss des Bereitstellungsprozesses zum Logic Apps-Designer.

     • Benutzerdefinierte Konnektoren werden unter dem Namen des benutzerdefinierten Konnektors aufgeführt, der auf der Registerkarte Parameter eingegeben wurde.

     • Für Connectors, die das Herstellen einer Verbindung mit verwalteter Identität unterstützen, z. B. Microsoft Sentinel, ist die verwaltete Identität die Standardverbindungsmethode.

     Weitere Informationen finden Sie unter Authentifizieren von Playbooks für Microsoft Sentinel.

   • Überprüfen und erstellen: Zeigen Sie eine Zusammenfassung des Prozesses an, und warten Sie auf die Überprüfung Ihrer Eingabe, bevor Sie das Playbook erstellen.

4. Wenn Sie die Schritte des Assistenten zum Erstellen von Playbooks bis zum Ende durchgeführt haben, gelangen Sie zum Workflowentwurf des neuen Playbooks im Logic Apps-Designer. Zum Beispiel:

   

5. Erstellen Sie für jeden Connector, für den Sie nach der Bereitstellung "Neue Verbindung erstellen" ausgewählt haben, die Verbindung:

   1. Wählen Sie im Navigationsmenü API-Verbindungen und dann den Verbindungsnamen aus. Zum Beispiel:

      

   2. Wählen Sie im Navigationsmenü API-Verbindung bearbeiten aus.

   3. Geben Sie die erforderlichen Parameter ein und wählen Sie Speichern aus. Zum Beispiel:

      

   Alternativ können Sie eine neue Verbindung innerhalb der relevanten Schritte im Logic Apps-Designer erstellen:

   1. Wählen Sie für jeden Schritt, der mit einem Fehlerzeichen angezeigt wird, diesen aus, um ihn zu erweitern, und wählen Sie dann Neu hinzufügen aus.

   2. Authentifizieren Sie sich gemäß den relevanten Anweisungen. Weitere Informationen finden Sie unter Authentifizieren von Playbooks für Microsoft Sentinel.

   3. Wenn es andere Schritte gibt, die denselben Connector verwenden, erweitern Sie deren Felder. Wählen Sie in der angezeigten Liste der Verbindungen die soeben erstellte Verbindung aus.

6. Wenn Sie sich für die Verwendung einer Verbindung mit verwalteter Identität für Microsoft Sentinel oder für andere unterstützte Verbindungen entschieden haben, stellen Sie sicher, dass Sie dem neuen Playbook Berechtigungen für den Microsoft Sentinel Arbeitsbereich oder für die relevanten Zielressourcen für andere Connectors erteilen.

7. Speichern Sie das Playbook. Das Playbook wird auf der Registerkarte Aktive Playbooks angezeigt.

Um Ihr Playbook auszuführen, legen Sie eine automatisierte Antwort fest, oder führen Sie sie manuell aus. Weitere Informationen finden Sie unter Reagieren auf Bedrohungen mit Microsoft Sentinel Playbooks.

Problem in einer Playbook-Vorlage melden

Um einen Fehler zu melden oder eine Verbesserung für ein Playbook anzufordern, wählen Sie im Detailbereich des Playbooks den Link Unterstützt von aus. Wenn das Playbook von der Community unterstützt wird, führt Sie der Link zu einem offenen GitHub-Issue. Andernfalls werden Sie zur Seite des Supporters weitergeleitet, mit Informationen dazu, wie Sie Ihr Feedback senden können.

Verwandte Inhalte

• Automatisieren der Reaktion auf Bedrohungen mit Microsoft Sentinel Playbooks
• Empfohlene Playbookvorlagen
• Microsoft Sentinel-Playbooks automatisieren und ausführen