Tutorial: Comprobar y registrar automáticamente la información de reputación de direcciones IP en incidentes

Una manera rápida y sencilla de evaluar la gravedad de un incidente es ver si se sabe que las direcciones IP de él son orígenes de actividad malintencionada. Tener una manera de hacerlo automáticamente puede ahorrarle mucho tiempo y esfuerzo.

En este tutorial, aprenderás a usar las reglas de automatización y los playbooks de Microsoft Sentinel para comprobar automáticamente las direcciones IP de tus incidentes con una fuente de inteligencia sobre amenazas y registrar cada resultado en el incidente correspondiente.

Cuando complete este tutorial, podrá:

Requisitos previos

Para completar este tutorial, asegúrese de que tiene:

• Una suscripción de Azure. Cree una cuenta gratuita si aún no tiene una.

• Un espacio de trabajo de Log Analytics con la solución Microsoft Sentinel implementada en él y con datos ingeridos en él.

• Un usuario Azure con los siguientes roles asignados en los siguientes recursos:

  • Colaborador de Microsoft Sentinel en el espacio de trabajo de Log Analytics donde está implementado Microsoft Sentinel.
  • Colaborador de Logic App y Propietario o equivalente, en el grupo de recursos que vaya a contener el manual de procedimientos creado en este tutorial.

• Solución VirusTotal instalada desde el Centro de contenido

• Una cuenta de VirusTotal (gratuita) será suficiente para este tutorial. Una implementación de producción requiere una cuenta de VirusTotal Premium.

• Un agente de Azure Monitor instalado en al menos una máquina del entorno para que los incidentes se generen y envíen a Microsoft Sentinel.

Creación de un cuaderno de estrategias a partir de una plantilla

Microsoft Sentinel incluye plantillas de cuadernos de estrategias predefinidas y listas para usar que puede personalizar para automatizar un gran número de objetivos y escenarios básicos de SecOps. Vamos a buscar una para enriquecer la información de la dirección IP en los incidentes.

1. En Microsoft Sentinel, seleccione Automatización de configuración>.

2. En la página Automatización, seleccione la pestaña Plantillas de guías de estrategias (versión preliminar).

3. Busque y seleccione una de las plantillas de Enriquecimiento de IP: informe de Virus Total, ya sea para desencadenadores de entidades, incidentes o alertas. Si es necesario, filtre la lista por la etiqueta Enriquecimiento para buscar las plantillas.

4. Seleccione Crear cuaderno de estrategias en el panel de detalles. Por ejemplo:

   

5. Se abrirá el asistente Crear un cuaderno de estrategias. En la pestaña Aspectos básicos :

   1. Seleccione la suscripción, el grupo de recursos y la región en sus respectivas listas desplegables.

   2. Edite el campo Nombre del cuaderno de estrategias y agregue al final del nombre sugerido "Get-VirusTotalIPReport". De este modo, podrás saber de qué plantilla original procede este cuaderno de estrategias, a la vez que te aseguras de que tiene un nombre único en caso de que quieras crear otro cuaderno de estrategias a partir de esta misma plantilla. Vamos a llamarlo "Get-VirusTotalIPReport-Tutorial-1".

   3. Deje desactivada la opción Habilitar registros de diagnóstico en Log Analytics .

   4. Seleccione Siguiente: Conexiones >.

6. En la pestaña Conexiones , verá todas las conexiones que este cuaderno de estrategias debe realizar a otros servicios y el método de autenticación que se usará si la conexión ya se ha realizado en un flujo de trabajo existente de Logic App en el mismo grupo de recursos.

   1. Deje la conexión Microsoft Sentinel tal y como está (debe decir "Conectar con identidad administrada").

   2. Si alguna conexión dice "Se configurará nueva conexión", se le pedirá que lo haga en la siguiente fase del tutorial. O bien, si ya tiene conexiones a estos recursos, seleccione la flecha del expansador situada a la izquierda de la conexión y elija una conexión existente en la lista expandida. Para este ejercicio, lo dejaremos tal como está.

      

   3. Seleccione Siguiente: Revisar y crear >.

7. En la pestaña Revisar y crear , revise toda la información que ha escrito tal y como se muestra aquí y seleccione Crear cuaderno de estrategias.

   

   A medida que se implementa el cuaderno de estrategias, verá una serie rápida de notificaciones de su progreso. A continuación, se abrirá el diseñador de aplicaciones lógicas y mostrará el cuaderno de estrategias. Todavía tenemos que autorizar las conexiones de la aplicación lógica a los recursos con los que interactúa para que se pueda ejecutar el cuaderno de estrategias. A continuación, revisaremos cada una de las acciones del cuaderno de estrategias para asegurarse de que son adecuadas para nuestro entorno, realizando cambios si es necesario.

   

Autorización de conexiones de aplicación lógica

Recuerde que, cuando creamos el libro de reglas a partir de la plantilla, se nos indicó que las conexiones de Azure Log Analytics Data Collector y VirusTotal se configurarían posteriormente.

Aquí es donde hacemos eso.

Autorización de la conexión de Virus Total

1. Seleccione la acción Para cada para expandirla y revisar su contenido, que incluye las acciones que se realizarán para cada dirección IP. Por ejemplo:

   

2. El primer elemento de acción que ve está etiquetado como Conexiones y tiene un triángulo de advertencia naranja.

   Si en su lugar, esa primera acción está etiquetada como Obtener un informe ip (versión preliminar), significa que ya tiene una conexión existente a Virus Total y puede ir al paso siguiente.

   1. Seleccione la acción Conexiones para abrirla.

   2. Seleccione el icono de la columna No válido para la conexión mostrada.

      

      Se le pedirá información de conexión.

      

   3. Escriba "Virus Total" como nombre de conexión.

   4. Para x-api_key, copie y pegue la clave de API de la cuenta de Virus Total.

   5. Seleccione Actualizar.

   6. Ahora verá correctamente la acción Obtener un informe de IP (versión preliminar). (Si ya tenía una cuenta de Virus Total, ya estará en esta fase).

      

Autorización de la conexión de Log Analytics

La siguiente acción es una condición que determina el resto de las acciones del bucle for-each en función del resultado del informe de direcciones IP. Analiza la puntuación de reputación dada a la dirección IP del informe. Una puntuación superior a 0 indica que la dirección es inofensiva; una puntuación inferior a 0 indica que es malintencionada.

Independientemente de si la condición es verdadera o falsa, queremos enviar los datos del informe a una tabla de Log Analytics para que se puedan consultar y analizar, y agregar un comentario al incidente.

Pero como verá, tenemos más conexiones no válidas que debemos autorizar.

1. Seleccione la acción Conexiones en el marco True .

2. Seleccione el icono de la columna No válido para la conexión mostrada.

   

   Se le pedirá información de conexión.

   

3. Escriba "Log Analytics" como nombre de conexión.

4. En Id. de área de trabajo, copie y pegue el identificador de la página Información general de la configuración del área de trabajo de Log Analytics.

5. Seleccione Actualizar.

6. Ahora verá la acción Enviar datos correctamente. (Si ya tenía una conexión de Log Analytics desde Logic Apps, ya estará en esta fase).

   

7. Ahora, seleccione la acción Conexiones en el marco Falso . Esta acción usa la misma conexión que la del marco True.

8. Compruebe que la conexión denominada Log Analytics esté marcada y seleccione Cancelar. Esto garantiza que la acción ahora se mostrará correctamente en el cuaderno de estrategias.

   

   Ahora verás todo tu manual de estrategias, correctamente configurado.

9. ¡Muy importante! No olvide seleccionar Guardar en la parte superior de la ventana Diseñador de aplicaciones lógicas . Después de ver los mensajes de notificación que indican que el cuaderno de estrategias se ha guardado correctamente, verá que el cuaderno de estrategias aparece en la pestaña Cuadernos de estrategias activos* de la página Automatización.

Creación de una regla de automatización

Ahora, para ejecutar realmente este cuaderno de estrategias, deberá crear una regla de automatización que se ejecutará cuando se creen incidentes e invoquen el cuaderno de estrategias.

1. En la página Automatización , seleccione + Crear en el banner superior. En el menú desplegable, seleccione Regla de automatización.

   

2. En el panel Crear nueva regla de automatización , asigne a la regla el nombre "Tutorial: Enriquecer la información de IP".

   

3. En Condiciones, seleccione + Agregar y Condición (And).

   

4. Seleccione Dirección IP en la lista desplegable de propiedades de la izquierda. Seleccione Contiene en la lista desplegable del operador y deje el campo de valor en blanco. Esto significa efectivamente que la regla se aplicará a los incidentes que tengan un campo de dirección IP que contenga cualquier cosa.

   No queremos impedir que esta automatización cubra ninguna regla de análisis, pero tampoco queremos que la automatización se desencadene innecesariamente, por lo que vamos a limitar la cobertura a incidentes que contengan entidades de direcciones IP.

   

5. En Acciones, seleccione Ejecutar cuaderno de estrategias en el menú desplegable.

6. Seleccione la nueva lista desplegable que aparece.

   

   Verá una lista de todos los cuadernos de estrategias de la suscripción. Las que aparecen en gris son aquellas a las que no puedes acceder. En el cuadro de texto Buscar cuadernos de estrategias , empiece a escribir el nombre (o cualquier parte del nombre) del cuaderno de estrategias que hemos creado anteriormente. La lista de guías de procedimientos se filtrará dinámicamente a medida que escriba cada letra.

   

   Cuando vea el cuaderno de estrategias en la lista, selecciónelo.

   

   Si el cuaderno de estrategias está atenuado, seleccione el vínculo Manage playbook permissions (en el párrafo de impresión fina que aparece a continuación de donde seleccionó un cuaderno de estrategias; observe la captura de pantalla anterior). En el panel que se abre, seleccione el grupo de recursos que contiene el cuaderno de estrategias de la lista de grupos de recursos disponibles y, a continuación, seleccione Aplicar.

7. Seleccione + Agregar acción de nuevo. Ahora, en el menú desplegable «Nueva acción» que aparece, seleccione Añadir etiquetas.

8. Seleccione + Agregar etiqueta. Escriba "Direcciones IP enriquecidas con tutorial" como texto de etiqueta y seleccione Aceptar.

   

9. Deje la configuración restante tal y como están y seleccione Aplicar.

Comprobación de una automatización correcta

1. En la página Incidentes, escriba el texto de etiqueta Direcciones IP enriquecidas con tutorial en la barra de búsqueda y presione la tecla Entrar para filtrar la lista de incidentes con esa etiqueta aplicada. Estos son los incidentes en los que se ejecutó la regla de automatización.

2. Abra uno o varios de estos incidentes y vea si hay comentarios sobre las direcciones IP allí. La presencia de estos comentarios indica que se ha ejecutado el cuaderno de estrategias en el incidente.

Limpie los recursos

Si no va a seguir usando este escenario de automatización, elimine el cuaderno de estrategias y la regla de automatización que creó con los pasos siguientes:

1. En la página Automatización, seleccione la pestaña Guías de procedimientos activas.

2. Escriba el nombre (o parte del nombre) del cuaderno de estrategias que creó en la barra Buscar.
   (Si no aparece, asegúrese de que los filtros estén establecidos en Seleccionar todo).

3. Marque la casilla situada junto a su libro de estrategias en la lista y seleccione Eliminar en la barra superior.
   (Si no desea eliminarlo, puede seleccionar Deshabilitar en su lugar).

4. Seleccione la pestaña Reglas de Automatización .

5. Escriba el nombre (o parte del nombre) de la regla de automatización que creó en la barra de búsqueda .
   (Si no aparece, asegúrese de que los filtros estén establecidos en Seleccionar todo).

6. Marque la casilla situada junto a la regla de automatización en la lista y seleccione Eliminar en el banner superior.
   (Si no desea eliminarlo, puede seleccionar Deshabilitar en su lugar).

Contenido relacionado

Ahora que ha aprendido a automatizar un escenario básico de enriquecimiento de incidentes, obtenga más información sobre la automatización y otros escenarios en los que puede usarlo.

• Consulte más ejemplos del uso de cuadernos de estrategias junto con reglas de automatización.
• Profundice en la adición de acciones a cuadernos de estrategias.
• Explore algunos escenarios de automatización básicos que no requieren cuadernos de estrategias.