Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Sentinel bietet SOAR-Funktionen (Security Orchestration, Automation, and Response) mit Automatisierungsregeln und Playbooks. Automatisierungsregeln automatisieren die Behandlung und Reaktion auf Vorfälle, und Playbooks führen vordefinierte Sequenzen von Aktionen aus, um auf Bedrohungen zu reagieren und zu beheben. In diesem Artikel wird erläutert, wie Sie SOAR-Anwendungsfälle identifizieren und Ihre ArcSight SOAR-Automatisierung zu Microsoft Sentinel migrieren.
Automatisierungsregeln vereinfachen komplexe Workflows für Ihre Incidentorchestrierungsprozesse und ermöglichen es Ihnen, Ihre Automatisierung zur Behandlung von Vorfällen zentral zu verwalten.
Mit Automatisierungsregeln haben Sie folgende Möglichkeiten:
- Führen Sie einfache Automatisierungsaufgaben aus, ohne unbedingt Playbooks zu verwenden. Beispielsweise können Sie Incidents zuweisen, markieren, status ändern und Incidents schließen.
- Automatisieren von Antworten für mehrere Analyseregeln gleichzeitig.
- Steuern Sie die Reihenfolge der ausgeführten Aktionen.
- Sie können Playbooks für die Fälle ausführen, in denen komplexere Automatisierungsaufgaben erforderlich sind.
Identifizieren von SOAR-Anwendungsfällen
Das solltest du bedenken, wenn du SOAR-Anwendungsfälle von ArcSight migrierst:
- Anwendungsfallqualität: Wählen Sie gute Anwendungsfälle für Automatisierung. Anwendungsfälle sollten auf klar definierten Verfahren basieren, mit minimalen Variationen und einer niedrigen Falsch-positiv-Rate. Die Automatisierung sollte mit effizienten Anwendungsfällen funktionieren.
- Manuelle Eingriffe: Automatisierte Reaktionen können weitreichende Auswirkungen haben, und hochwirksame Automatisierungen sollten menschliche Eingriffe einbeziehen, um wirkungsvolle Maßnahmen zu bestätigen, bevor sie ausgeführt werden.
- Binäre Kriterien: Um den Reaktionserfolg zu steigern, sollten Entscheidungspunkte innerhalb eines automatisierten Workflows so begrenzt wie möglich sein, mit binären Kriterien. Binäre Kriterien verringern den Bedarf an menschlichem Eingreifen und erhöhen die Vorhersehbarkeit der Ergebnisse.
- Genaue Warnungen oder Daten: Reaktionsaktionen hängen von der Genauigkeit von Signalen wie Warnungen ab. Warnungen und Anreicherungsquellen sollten zuverlässig sein. Microsoft Sentinel Ressourcen wie Watchlists und zuverlässige Threat Intelligence können die Zuverlässigkeit verbessern.
- Analystenrolle: Während Automatisierung, wo möglich, großartig ist, reservieren Sie komplexere Aufgaben für Analysten und geben Sie ihnen die Möglichkeit, in Workflows einzuarbeiten, die validiert werden müssen. Kurz gesagt, sollte die Automatisierung von Reaktionen die Fähigkeiten der Analysten unterstützen und erweitern.
SOAR-Workflows auf Microsoft Sentinel Playbooks migrieren
Die folgende Zuordnung zeigt, wie wichtige SOAR-Konzepte in ArcSight in Microsoft Sentinel-Komponenten übersetzt werden, und enthält allgemeine Richtlinien zum Migrieren der einzelnen Schritte oder Komponenten im SOAR-Workflow.
| Schritt (im Diagramm) | ArcSight | Microsoft Sentinel |
|---|---|---|
| 1 | Erfassen von Ereignissen in Enterprise Security Manager (ESM) und Auslösen von Korrelationsereignissen. | Erfassen Sie Ereignisse im Log Analytics-Arbeitsbereich. |
| 2 | Automatisches Filtern von Warnungen für die Fallerstellung. | Verwenden Sie Analyseregeln , um Warnungen auszulösen. Erweitern Sie Warnungen mithilfe der benutzerdefinierten Detailfunktion , um dynamische Incidentnamen zu erstellen. |
| 3 | Klassifizieren von Fällen. | Verwenden Sie Automatisierungsregeln. Mit Automatisierungsregeln behandelt Microsoft Sentinel Incidents gemäß der Analyseregel, die den Incident ausgelöst hat, und den Incidenteigenschaften, die definierten Kriterien entsprechen. |
| 4 | Konsolidieren von Fällen. | Mit der Benachrichtigungsgruppierungsfunktion können Sie mehrere Warnungen auf einen einzigen Vorfall zusammenfassen, basierend auf Eigenschaften wie Abgleichsobjekten, Benachrichtigungsdetails oder Erstellungszeitrahmen. |
| 5 | Dispatch-Fälle. | Weisen Sie Vorfälle bestimmten Analysten zu, indem Sie die automatisierte Vorfallzuweisung mit Schichten für Teams zwischen Microsoft Teams, Azure Logic Apps und Microsoft Sentinel-Automatisierungsregeln verwenden. |
Zuordnung von ArcSight SOAR-Komponenten den Fähigkeiten von Microsoft Sentinel
Überprüfen Sie, welche Microsoft Sentinel- oder Azure Logic Apps-Features den ArcSight SOAR-Hauptkomponenten zugeordnet sind. In ArcSight initiiert ein Trigger einen Workflow basierend auf einem Ereignis oder einer Bedingung, eine Aktion führt eine bestimmte Aufgabe als Reaktion aus, und Playbooks definieren die orchestrierte Abfolge von Aktionen. Die folgende Tabelle ordnet diese Komponenten ihren Microsoft Sentinel-Äquivalenten zu.
| ArcSight | Microsoft Sentinel/Azure Logic Apps |
|---|---|
| Auslöser | Übersicht über die Trigger von Logic Apps |
| Automatisierungsbit | Azure Function-Connector |
| Aktion | Übersicht über Logik-Apps-Aktionen |
| Geplante Playbooks | Durch den Serientrigger initiierte Playbooks |
| Workflow-Playbooks | Automatisch von Microsoft Sentinel-Warnungen oder Incidenttriggern initiierte Playbooks |
| Marktplatz | • Registerkarte "Automatisierungsvorlagen > " • Inhaltshubkatalog • Microsoft Sentinel Playbooks auf GitHub |
Operationalisieren von Playbooks und Automatisierungsregeln in Microsoft Sentinel
Die meisten playbooks, die Sie mit Microsoft Sentinel verwenden, sind entweder auf der Registerkarte "Automatisierungsvorlagen>", im Inhaltshubkatalog oder in Microsoft Sentinel Playbooks auf GitHub verfügbar. In einigen Fällen müssen Sie jedoch möglicherweise Playbooks von Grund auf neu oder aus vorhandenen Vorlagen erstellen.
Sie erstellen Ihre benutzerdefinierte Logik-App in der Regel mithilfe des features Azure Logic App Designer. Der Logik-Apps-Code basiert auf Azure Resource Manager-Vorlagen (ARM), die die Entwicklung, Bereitstellung und Portabilität von Azure Logic Apps in mehreren Umgebungen erleichtern. Um Ihr benutzerdefiniertes Playbook in eine portable ARM-Vorlage zu konvertieren, können Sie den ARM-Vorlagengenerator verwenden.
Verwenden Sie die folgenden Microsoft Sentinel Automatisierungs- und Playbookressourcen für Fälle, in denen Sie Eigene Playbooks entweder von Grund auf neu oder aus vorhandenen Vorlagen erstellen müssen.
- Automatisieren der Incidentbehandlung in Microsoft Sentinel
- Automatisieren der Reaktion auf Bedrohungen mit Playbooks in Microsoft Sentinel
- Tutorial: Verwenden von Playbooks mit Automatisierungsregeln in Microsoft Sentinel
- Verwenden von Microsoft Sentinel für Reaktion auf Vorfälle, Orchestrierung und Automatisierung
- Adaptive Karten zur Verbesserung der Reaktion auf Vorfälle in Microsoft Sentinel
Best Practices für SOAR nach der Migration in Microsoft Sentinel
Im Folgenden finden Sie bewährte Methoden, die Sie nach der SOAR-Migration berücksichtigen sollten:
- Nachdem Sie Ihre Playbooks migriert haben, testen Sie die Playbooks ausführlich, um sicherzustellen, dass die migrierten Aktionen wie erwartet funktionieren.
- Überprüfen Sie in regelmäßigen Abständen Ihre Automatisierungen, um Möglichkeiten zur weiteren Vereinfachung oder Verbesserung Ihres SOAR zu erkunden. Microsoft Sentinel fügt ständig neue Connectors und Aktionen hinzu, die Ihnen helfen können, die Effektivität Ihrer aktuellen Antwortimplementierungen weiter zu vereinfachen oder zu erhöhen.
- Überwachen Sie die Leistung Ihrer Playbooks mithilfe der Arbeitsmappe zur Überwachung der Integrität von Playbooks.
- Verwenden Sie verwaltete Identitäten und Dienstprinzipale: Authentifizieren Sie sich bei verschiedenen Azure-Diensten innerhalb Ihrer Logic Apps, speichern Sie die Geheimnisse in Azure Key Vault und verschleiern Sie die Ausgabe der Flow-Ausführung. Wir empfehlen außerdem, nicht-interaktive Service Principal-Logins in Microsoft Sentinel zu überwachen.