Crear y personalizar playbooks de Microsoft Sentinel a partir de plantillas

Una plantilla de cuaderno de estrategias es un flujo de trabajo de automatización precompilado, probado y listo para usarse para Microsoft Sentinel que se puede personalizar para satisfacer sus necesidades. Las plantillas también pueden servir de referencia para los procedimientos recomendados al desarrollar cuadernos de estrategias desde cero o como inspiración para nuevos escenarios de automatización.

Las plantillas de cuaderno de estrategias no son cuadernos de estrategias activos y debe crear una copia editable adecuada a sus necesidades.

Muchas plantillas de cuaderno de estrategias son desarrolladas por la comunidad de Microsoft Sentinel, proveedores de software independientes (ISV) y expertos de Microsoft, basados en escenarios de automatización populares utilizados por centros de operaciones de seguridad de todo el mundo.

Requisitos previos

Para crear y administrar cuadernos de estrategias, necesita acceso a Microsoft Sentinel con uno de los siguientes roles de Azure:

• Colaborador de aplicación lógica, para editar y administrar aplicaciones lógicas
• Operador de aplicación lógica, para leer, habilitar y deshabilitar aplicaciones lógicas

Para obtener más información, consulte requisitos previos del cuaderno de estrategias de Microsoft Sentinel.

Se recomienda leer Azure Logic Apps for Microsoft Sentinel playbooks (Cuadernos de estrategias de Azure Logic Apps para Microsoft Sentinel) antes de crear el cuaderno de estrategias.

Acceso a las plantillas del cuaderno de estrategias

Acceda a las plantillas de guías de estrategias desde las siguientes fuentes:

Técnicamente, una plantilla de cuaderno de estrategias es una plantilla de Azure Resource Manager (ARM), que consta de varios recursos: un flujo de trabajo Azure Logic Apps y conexiones de API para cada conexión implicada.

El siguiente procedimiento se centra en desplegar una plantilla de libro de jugadas desde la pestaña de plantillas de libro de juego bajo Automatización.

Explora plantillas de guía

Para Microsoft Sentinel en el Azure Portal, seleccione la página Centro de contenido de administración de>contenido. Para Microsoft Sentinel en el portal de Microsoft Defender, seleccione Microsoft Sentinel>Administración de contenido>Centro de contenido.

En la página Centro de contenido, seleccione Tipo de contenido para filtrar por Playbook. La página del hub de contenido filtrado lista todas las soluciones y contenidos independientes que incluyen una o más plantillas de playbook. Instale la solución o el contenido independiente para obtener la plantilla.

Para ver las plantillas instaladas, seleccione la pestaña Configuración>Automatización>Plantillas de playbook. Por ejemplo:

Para buscar una plantilla de cuaderno de estrategias que se ajuste a sus requisitos, filtre la lista por los siguientes criterios:

Por ejemplo:

Personalización de un cuaderno de estrategias a partir de una plantilla

Los siguientes pasos describen cómo desplegar plantillas de playbook y pueden repetirse para crear múltiples playbooks a partir de la misma plantilla.

Aunque la mayoría de las plantillas de cuaderno de estrategias se pueden usar tal cual, te recomendamos que las ajustes según sea necesario para adaptarlas a tus necesidades de SOC.

1. En la pestaña Plantillas de cuadernos de estrategias, seleccione un cuaderno de estrategias como punto de partida.

2. Si el cuaderno de estrategias tiene algún requisito previo, asegúrese de seguir las instrucciones. Por ejemplo:

   • Algunos cuadernos de estrategias llaman a otros cuadernos como acciones. El libro de jugadas llamado se denomina libro anidado. En tal caso, uno de los requisitos previos es implementar primero el cuaderno de estrategias anidado.

   • Algunos playbooks requieren implementar un conector personalizado de Logic Apps o una función de Azure. En tales casos, hay un vínculo Implementar en Azure que le lleva al proceso general de implementación de plantillas de ARM.

3. Seleccione Crear cuaderno de estrategias para abrir el asistente para la creación del cuaderno de estrategias en función de la plantilla seleccionada. El asistente tiene cuatro pestañas:

   • Conceptos básicos: Busque el nuevo cuaderno de estrategias, que es un recurso de Logic Apps, y asígnele un nombre. Puede usar el valor predeterminado. Por ejemplo:

     

   • Parámetros: Introduzca los valores específicos del cliente que utiliza el playbook. Por ejemplo, si el cuaderno de estrategias envía un correo electrónico al SOC, defina la dirección del destinatario. Si el cuaderno de estrategias tiene un conector personalizado en uso, debe implementarse en el mismo grupo de recursos y se le pedirá que escriba su nombre en la pestaña Parámetros .

     La pestaña Parámetros solo se muestra si el cuaderno de estrategias tiene parámetros. Por ejemplo:

     

   • Conexiones: Expande cada acción para ver las conexiones existentes que creaste para playbooks previos. Puede elegir usar conexiones existentes o crear una nueva. Por ejemplo:

     

     • Para crear una nueva conexión, seleccione Crear nueva conexión después de la implementación. La opción Crear nueva conexión tras el despliegue te lleva al diseñador de Logic Apps una vez completado el proceso de despliegue.

     • Los conectores personalizados se enumeran mediante el nombre del conector personalizado especificado en la pestaña Parámetros .

     • Para los conectores que admiten la conexión con la identidad administrada, como Microsoft Sentinel, la identidad administrada es el método de conexión predeterminado.

     Para obtener más información, consulte Autenticación de cuadernos de estrategias en Microsoft Sentinel.

   • Revisar y crear: Vea un resumen del proceso y espere la validación de la entrada antes de crear el cuaderno de estrategias.

4. Después de seguir los pasos del asistente para la creación del cuaderno de estrategias hasta el final, se le conduce al diseño del flujo de trabajo del nuevo cuaderno de estrategias en el diseñador de Logic Apps. Por ejemplo:

   

5. Para cada conector para el que seleccionó Crear nueva conexión después de la implementación, cree la conexión:

   1. En el menú de navegación, seleccione Conexiones de API y, a continuación, seleccione el nombre de la conexión. Por ejemplo:

      

   2. Seleccione Editar conexión de API en el menú de navegación.

   3. Rellene los parámetros necesarios y seleccione Guardar. Por ejemplo:

      

   Como alternativa, cree una nueva conexión desde dentro de los pasos pertinentes en el diseñador de Logic Apps:

   1. Para cada paso que aparece con un signo de error, selecciónelo para expandir y, a continuación, seleccione Agregar nuevo.

   2. Autentíquese según las instrucciones pertinentes. Para obtener más información, consulte Autenticación de cuadernos de estrategias en Microsoft Sentinel.

   3. Si hay otros pasos que usan este mismo conector, expanda sus cuadros. En la lista de conexiones que aparece, seleccione la conexión que acaba de crear.

6. Si ha elegido usar una conexión de identidad administrada para Microsoft Sentinel o para otras conexiones admitidas, asegúrese de conceder permisos al nuevo cuaderno de estrategias en el área de trabajo de Microsoft Sentinel o en los recursos de destino pertinentes para otros conectores.

7. Guarde el cuaderno de estrategias. El cuaderno de estrategias aparece en la pestaña Cuadernos de estrategias activos.

Para ejecutar el cuaderno de estrategias, establezca una respuesta automatizada o ejecútelo manualmente. Para obtener más información, consulte Respuesta a amenazas con cuadernos de estrategias de Microsoft Sentinel.

Notificar un problema en una plantilla de cuaderno de estrategias

Para notificar un error o solicitar una mejora para un cuaderno de estrategias, seleccione el vínculo Compatible con en el panel de detalles del cuaderno de estrategias. Si la guía cuenta con soporte de la comunidad, el enlace te lleva a abrir una incidencia en GitHub. De lo contrario, se le dirigirá a la página del patrocinador, con información sobre cómo enviar sus comentarios.

Contenido relacionado

• Automatización de la respuesta a amenazas con cuadernos de estrategias de Microsoft Sentinel
• Plantillas recomendadas de guías de procedimientos
• Automatice y ejecute los cuadernos de estrategias de Microsoft Sentinel