Cree sus propios incidentes manualmente en Microsoft Sentinel en el Azure Portal

Con Microsoft Sentinel como solución de administración de eventos e información de seguridad (SIEM), las actividades de detección de amenazas y respuesta de las operaciones de seguridad se centran en los incidentes que se investigan y corrigen. Estos incidentes tienen dos orígenes principales:

• Se generan automáticamente cuando los mecanismos de detección actúan sobre los registros y las alertas que Microsoft Sentinel recopila de sus fuentes de datos conectadas.

• Se ingieren directamente desde otros servicios de seguridad de Microsoft conectados (como Microsoft Defender XDR) que los crearon.

Sin embargo, los datos de amenazas también pueden provenir de otros orígenes que no se ingieren en Microsoft Sentinel, o eventos no registrados en ningún registro y, sin embargo, pueden justificar la apertura de una investigación. Por ejemplo, un empleado podría observar a una persona no reconocida que participa en actividades sospechosas relacionadas con los recursos de información de su organización. Este empleado podría llamar o enviar un correo electrónico al Centro de operaciones de seguridad (SOC) para informar de la actividad.

Microsoft Sentinel en el Azure Portal permite a los analistas de seguridad crear manualmente incidentes para cualquier tipo de evento, independientemente de su origen o datos, por lo que no se pierda la investigación de estos tipos inusuales de amenazas.

Casos de uso comunes

Creación de un incidente para un evento notificado

Use esta opción cuando un usuario, empleado o analista notifique actividad sospechosa que no se incorporó a Microsoft Sentinel como telemetría. Por ejemplo, un empleado podría observar que una persona no reconocida que participa en actividades sospechosas relacionadas con los recursos de información de su organización y notificarla al centro de operaciones de seguridad (SOC) por teléfono o correo electrónico.

Creación de incidentes a partir de eventos de sistemas externos

Cree incidentes basados en eventos de sistemas cuyos registros no se ingieren en Microsoft Sentinel. Por ejemplo, una campaña de suplantación de identidad basada en SMS podría usar la personalización de marca corporativa y los temas de la organización para dirigirse a los dispositivos móviles personales de los empleados. Es posible que quiera investigar un ataque de este tipo y puede crear un incidente en Microsoft Sentinel para que tenga una plataforma para administrar la investigación, recopilar y registrar pruebas y registrar las acciones de respuesta y mitigación.

Creación de incidentes en función de los resultados de la búsqueda

Cree incidentes a partir de los resultados observados de las actividades de caza. Por ejemplo, mientras realiza una búsqueda de amenazas en el contexto de una investigación determinada (o por su cuenta), es posible que encuentre indicios de una amenaza completamente distinta que justifique una investigación independiente.

Crear un incidente manualmente

Hay tres maneras de crear un incidente manualmente:

• Creación de un incidente mediante el Azure Portal
• Cree un incidente con Azure Logic Apps mediante el desencadenador de incidentes de Microsoft Sentinel.
• Cree un incidente mediante la API de Microsoft Sentinel, a través del grupo de operaciones Incidentes. El grupo de operaciones de Incidentes te permite obtener, crear, actualizar y eliminar incidentes.

Después de incorporar Microsoft Sentinel al portal de Microsoft Defender, los incidentes creados manualmente no se sincronizan con el portal de Defender, aunque todavía se pueden ver y administrar en Microsoft Sentinel en el Azure Portal y a través de Logic Apps y la API.

Permisos

Los siguientes roles y permisos son necesarios para crear manualmente un incidente.

Obtenga más información sobre los roles y permisos de Microsoft Sentinel.

Creación de un incidente mediante el Azure Portal

Para crear manualmente un incidente en el portal de Azure, siga estos pasos:

1. Seleccione Microsoft Sentinel y elija el área de trabajo.

2. En el menú de navegación Microsoft Sentinel, seleccione Incidentes.

3. En la página Incidentes, seleccione + Crear incidente (versión preliminar) en la barra de botones.

   

   El panel Crear incidente (versión preliminar) se abrirá en el lado derecho de la pantalla.

   

4. Rellene los campos del panel en consecuencia.

   • Title

     • Escriba el título que elija para el incidente. El incidente aparecerá en la cola con este título.
     • Obligatorio. Texto libre de longitud ilimitada. Los espacios se recortarán.

   • Descripción

     • Escriba información descriptiva sobre el incidente, incluidos detalles como el origen del incidente, las entidades implicadas, la relación con otros eventos, quién fue informado, etc.
     • Opcional. Texto libre de hasta 5000 caracteres.

   • Gravedad

     • Elija una gravedad en la lista desplegable. Están disponibles todas las gravedades compatibles con Microsoft Sentinel.
     • Obligatorio. El valor predeterminado es "Medio".

   • Estado

     • Elija un estado en la lista desplegable. Todos los estados admitidos por Microsoft Sentinel están disponibles.
     • Obligatorio. El valor predeterminado es "Nuevo".
     • Puede crear un incidente con un estado "cerrado" y, a continuación, abrirlo manualmente después para realizar cambios y elegir un estado diferente. Al elegir "cerrado" en la lista desplegable, se activarán los campos de motivo de clasificación para que elija un motivo para cerrar el incidente y agregar comentarios.

   • Propietario

     • Elija entre los usuarios o grupos disponibles en su arrendatario. Empiece a escribir un nombre para buscar usuarios y grupos. Seleccione el campo (haga clic o pulse) para mostrar una lista de sugerencias. Elija "asignármelo a mí" en la parte superior de la lista para asignarse el incidente a sí mismo.
     • Opcional.

   • Tags

     • Use etiquetas para clasificar incidentes y filtrarlos y localizarlos en la cola.
     • Para crear etiquetas, seleccione el icono de signo más, escriba texto en el cuadro de diálogo y seleccione Aceptar. La finalización automática sugerirá las etiquetas usadas en el área de trabajo durante las dos semanas anteriores.
     • Opcional. Texto libre.

5. Seleccione Crear en la parte inferior del panel. Después de unos segundos, el incidente se creará y aparecerá en la cola de incidentes.

   Si asigna a un incidente un estado de "Cerrado", no aparecerá en la cola hasta que cambie el filtro de estado para mostrar también los incidentes cerrados. El filtro se establece de forma predeterminada para mostrar solo los incidentes con un estado "Nuevo" o "Activo".

Seleccione el incidente en la cola para ver sus detalles completos, agregar marcadores, cambiar su propietario y estado, etc.

Si por cualquier motivo cambia de opinión después de haber creado el incidente, puede eliminar el incidente desde la cuadrícula de la cola o desde el propio incidente. Debe tener el rol colaborador de Microsoft Sentinel para eliminar un incidente.

Creación de un incidente mediante Azure Logic Apps

La opción de crear un incidente también está disponible como acción de Logic Apps en el conector de Microsoft Sentinel y, por tanto, en los playbooks de Microsoft Sentinel.

Puede encontrar la acción Crear incidente (versión preliminar) en el esquema del manual de procedimientos para el desencadenador de incidente.

Debe proporcionar parámetros como se describe a continuación:

• Seleccione la suscripción, el grupo de recursos y el nombre del área de trabajo en sus respectivas listas desplegables.

• Para los campos restantes, consulte las explicaciones del campo en Creación de un incidente mediante el portal de Azure.

  

Microsoft Sentinel proporciona algunas plantillas de cuaderno de estrategias de ejemplo que muestran cómo trabajar con esta funcionalidad:

• Creación de un incidente con Microsoft Form
• Crear incidente desde la bandeja de entrada de correo electrónico compartida

Puede encontrarlos en la galería de plantillas del cuaderno de estrategias en la página Microsoft Sentinel Automation.

Creación de un incidente mediante la API de Microsoft Sentinel

El grupo de operaciones Incidentes permite no solo crear, sino también actualizar un incidente, recuperar un incidente, enumerarincidentes y eliminar un incidente.

Para crear o actualizar un incidente de Microsoft Sentinel a través de la API REST, envíe una PUT solicitud al siguiente punto de conexión. Si el identificador de incidente especificado aún no existe, la API crea un nuevo incidente. Una vez completada correctamente la solicitud, el incidente está visible en la cola de incidentes del portal.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

En el ejemplo siguiente se muestra un cuerpo de una solicitud JSON que crea un incidente con propiedades como título, descripción, gravedad, propietario, estado y clasificación:

{
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "IncorrectAlertLogic",
    "status": "Closed"
  }
}

Notas

Tenga en cuenta las siguientes limitaciones y comportamientos para incidentes creados manualmente:

• Los incidentes creados manualmente no contienen entidades ni alertas. Por lo tanto, la pestaña Alertas de la página incidente permanecerá vacía hasta que relacione las alertas existentes con el incidente.

  La pestaña Entidades también permanecerá vacía, ya que actualmente no se admite la adición de entidades directamente a incidentes creados manualmente. (Si relaciona una alerta con este incidente, las entidades de la alerta aparecerán en el incidente).

• Los incidentes creados manualmente tampoco mostrarán ningún Nombre de producto en la cola.

• La cola de incidentes se filtra de forma predeterminada para mostrar solo los incidentes con el estado "Nuevo" o "Activo". Si crea un incidente con el estado "Cerrado", no aparecerá en la cola hasta que cambie el filtro de estado para mostrar también los incidentes cerrados.

Siguientes pasos

Para más información, vea:

• Relacionar alertas con incidentes en Microsoft Sentinel
• Eliminación de incidentes en Microsoft Sentinel
• Navegar, evaluar y administrar incidentes de Microsoft Sentinel
• Investigar en profundidad los incidentes de Microsoft Sentinel