Creare e gestire playbook di Microsoft Sentinel

I playbook sono raccolte di procedure che possono essere eseguite da Microsoft Sentinel in risposta a un intero evento imprevisto, a un singolo avviso o a un'entità specifica. Un playbook consente di automatizzare e orchestrare la risposta e può essere collegato a una regola di automazione per l'esecuzione automatica quando vengono generati avvisi specifici o quando vengono creati o aggiornati eventi imprevisti. I playbook possono anche essere eseguiti manualmente su richiesta in merito a eventi imprevisti, avvisi o entità specifici.

Questo articolo descrive come creare e gestire Microsoft Sentinel playbook. Prima di iniziare, assicurati di soddisfare i prerequisiti del playbook, inclusi un abbonamento Azure e i ruoli richiesti di Logic App Azure. In seguito è possibile collegare questi playbook a regole di analisi o regole di automazione oppure eseguirli manualmente in eventi imprevisti, avvisi o entità specifici.

Prerequisiti

Prima di creare o gestire i playbook, assicurati di soddisfare i seguenti prerequisiti:

• Un account Azure e una sottoscrizione. Se non si ha una sottoscrizione, creare un account di Azure gratuito.

• Per creare e gestire playbook, è necessario accedere a Microsoft Sentinel con uno dei ruoli di Azure seguenti:

  Applicazione logica	Ruoli Azure	Descrizione
  Consumo	Collaboratore App per la logica	Modificare e gestire Logic Apps.
  Consumo	Operatore di Logic App	Leggere, abilitare e disabilitare le App per la logica.
  Standard	Operatore App per la logica standard	Abilitare, inviare di nuovo e disabilitare i flussi di lavoro.
  Standard	Sviluppatore standard di App per la logica	Creare e modificare flussi di lavoro.
  Standard	Collaboratore di Logic Apps Standard	Gestire tutti gli aspetti di un flusso di lavoro.

  Per altre informazioni, vedere la documentazione seguente:

  • Accesso sicuro alle operazioni di logic app in App per la logica di Azure
  • Prerequisiti del playbook di Microsoft Sentinel.

• Prima di creare il playbook, consigliamo di leggere App per la logica Azure per i playbook di Microsoft Sentinel.

Crea un playbook

Seguire questa procedura per creare un nuovo playbook in Microsoft Sentinel:

1. Nel portale di Defender o nella portale di Azure passare all'area di lavoro Microsoft Sentinel. Nel menu dell'area di lavoro selezionare Automazione in Configurazione.

   • Portale di Defender
   • Portale di Azure

   

2. Nel menu in alto selezionare Crea e quindi selezionare una delle opzioni seguenti:

   • Se stai creando un playbook Consumo, seleziona una delle opzioni seguenti, a seconda del trigger che vuoi usare, e quindi segui i passaggi per preparare un playbook dell'app per la logica Consumo:

     • Playbook con trigger per evento imprevisto
     • Playbook con attivazione dell'avviso
     • Playbook con trigger entità

     In questo esempio, seleziona Playbook con l'entità che attiva .

   • Se si sta creando un playbook Standard, selezionare Playbook vuoto e quindi preparare un playbook di app per la logica Standard.

   Per altre informazioni, vedere Tipi di app per la logica supportati e Trigger e azioni supportati in Microsoft Sentinel playbook.

Prepara l'app per la logica del playbook

Selezionare una delle schede seguenti per i dettagli su come creare un'app per la logica per il playbook, a seconda che si usi un'app per la logica di tipo A consumo o Standard. Per altre informazioni, vedere Tipi di app per la logica supportati.

Autenticare le connessioni per le azioni del playbook

Quando si aggiunge un trigger o un'azione successiva che richiede l'autenticazione, potrebbe essere richiesto di scegliere tra i tipi di autenticazione disponibili supportati dal provider di risorse corrispondente. In questo esempio, un trigger di Microsoft Sentinel è la prima operazione aggiunta al flusso di lavoro. Il provider di risorse è quindi Microsoft Sentinel, che supporta diverse opzioni di autenticazione. Per altre informazioni, vedere la documentazione seguente:

• Autenticare playbook in Microsoft Sentinel
• Trigger e azioni supportati nei playbook di Microsoft Sentinel

Aggiungi azioni al playbook

Ora che si dispone di un flusso di lavoro per il playbook, definire cosa accade quando il playbook viene chiamato. Aggiungere azioni, condizioni logiche, cicli o condizioni switch/case, il tutto selezionando il segno più (+) nella progettazione. Per altre informazioni, vedere Creare un flusso di lavoro con un trigger o un'azione.

Questa selezione apre il riquadro Aggiungi un'azione in cui è possibile esplorare o cercare servizi, applicazioni, sistemi, azioni del flusso di controllo e altro ancora. Dopo aver immesso i termini di ricerca o aver selezionato la risorsa desiderata, l'elenco dei risultati mostra le azioni disponibili.

In ogni azione, quando si seleziona all'interno di un campo, si ottengono le opzioni seguenti:

• Contenuto dinamico (icona a fulmini): scegliere da un elenco di output disponibili dalle azioni precedenti nel flusso di lavoro, incluso il trigger Microsoft Sentinel. Ad esempio, questi output possono includere gli attributi di un avviso o incidente passato al playbook, inclusi i valori e gli attributi di tutti i campi dati della mappa alle entità e i dettagli personalizzati di visualizzazione negli avvisi dell'allarme o dell'incidente. È possibile aggiungere riferimenti all'azione corrente selezionando questi output.

  Per esempi che mostrano come usare il contenuto dinamico, vedere Usare playbook delle entità senza ID incidente e Lavorare con dettagli personalizzati.

• Editor di espressioni (icona della funzione): scegliere da una libreria di funzioni di grandi dimensioni per aggiungere più logica al flusso di lavoro.

Per altre informazioni, vedere Trigger e azioni supportati in Microsoft Sentinel playbook.

Contenuto dinamico: playbook di entità senza ID dell'evento imprevisto

I playbook creati con il trigger dell'entità Microsoft Sentinel spesso utilizzano il campo Incident ARM ID, che contiene l'identificatore Azure Resource Manager per l'incidente associato. Questo campo viene utilizzato, ad esempio, per aggiornare un incidente dopo aver agito sull'entità. Se un playbook di questo tipo viene attivato in uno scenario non collegato a un incidente, ad esempio durante l'attività di threat hunting, non è disponibile alcun ID incidente con cui popolare questo campo. Il campo viene invece popolato con un valore Null. Di conseguenza, il playbook potrebbe non essere eseguito fino al completamento.

Per evitare questo errore, è consigliabile creare una condizione che verifichi la presenza di un valore nel campo ID evento imprevisto prima che il flusso di lavoro eserciti altre azioni. È possibile prescrivere un set diverso di azioni da eseguire se il campo ha un valore Null, poiché il playbook non viene eseguito da un evento imprevisto.

1. Nel flusso di lavoro, prima della prima azione che fa riferimento al campo ID ARM incidente, aggiungi un'azione Condizione nella progettazione del flusso di lavoro.

2. Nella riga condizione del riquadro Condizione selezionare il campo a sinistra Scegli un valore e quindi selezionare l'opzione contenuto dinamico (icona a fulmini).

3. Nell'elenco del contenuto dinamico, in corrispondenza di Incidente di Microsoft Sentinel, usare la casella di ricerca per trovare e selezionare ID ARM dell'incidente.

   Consiglio

   Se l'output non viene visualizzato nell'elenco, accanto al nome del trigger selezionare Vedi altro.

4. Nel campo centrale, nell'elenco degli operatori, selezionare non è uguale a.

5. Nel campo Di destra Scegliere un valore e selezionare l'opzione dell'editor di espressioni (icona della funzione).

6. Nell'editor immettere Null e selezionare Aggiungi.

Al termine, la condizione sarà simile all'esempio seguente:

Contenuto dinamico: usare i dettagli personalizzati

Nel trigger dell'incidente Microsoft Sentinel, l'output dei dettagli personalizzati di Alert è un array di oggetti JSON in cui ciascuno rappresenta un dettaglio personalizzato, come descritto nei dettagli personalizzati di Surface negli alert. I dettagli personalizzati sono coppie chiave-valore che consentono di visualizzare le informazioni dagli eventi nell'avviso in modo che possano essere rappresentate, rilevate e analizzate come parte dell'evento imprevisto.

Questo campo nell'avviso è personalizzabile, quindi il relativo schema dipende dal tipo di evento visualizzato. Per generare lo schema che determina come analizzare l'output dei dettagli personalizzati, specificare i dati da un'istanza di questo evento:

1. Nel menu Microsoft Sentinel area di lavoro selezionare Analisi in Configurazione.

2. Segui i passaggi per creare o aprire una regola di analisi programmata esistente o una regola di analisi NRT.

3. Nella scheda Imposta la logica della regola, espandere la sezione Dettagli personalizzati, ad esempio:

   

   Nella tabella seguente sono disponibili altre informazioni su queste coppie chiave-valore:

   Elemento	Posizione	Descrizione
   Tasto	Colonna sinistra	Rappresenta i campi personalizzati creati.
   Valore	Colonna di destra	Rappresenta i campi dai dati dell'evento che popolano i campi personalizzati.

4. Per generare lo schema, specificare il codice JSON di esempio seguente:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   Il codice mostra i nomi delle chiavi come matrici e i valori come elementi nelle matrici. I valori vengono visualizzati come valori effettivi, non come colonna che contiene i valori.

Per usare campi personalizzati per i trigger di eventi imprevisti, seguire questa procedura per il flusso di lavoro:

1. Nella finestra di progettazione del workflow, nel trigger di evento imprevisto di Microsoft Sentinel , aggiungere l'azione predefinita denominata Analizza JSON.

2. Selezionare all'interno del parametro Contenuto dell'azione e selezionare l'opzione elenco contenuto dinamico (icona a fulmini).

3. Dall'elenco, nella sezione del trigger dell'evento imprevisto, trovare e selezionare Dettagli personalizzati dell'avviso, ad esempio:

   

   Questa selezione aggiunge automaticamente un ciclo For each intorno ad Analizza JSON poiché un evento imprevisto contiene una matrice di avvisi.

4. Nel riquadro Analizza informazioni JSON selezionare Usa payload di esempio per generare lo schema, ad esempio:

   

5. Nella casella Immettere o incollare un payload JSON di esempio specificare un payload di esempio e selezionare Fine.

   Ad esempio, è possibile trovare un payload di esempio cercando in Log Analytics un'altra istanza di questo avviso e quindi copiando l'oggetto dettagli personalizzato, disponibile in Proprietà estese. Per accedere ai dati di Log Analytics, passare alla pagina Log nel portale di Azure o alla pagina Ricerca avanzata nel portale di Defender.

   L'esempio seguente mostra il payload JSON personalizzato di esempio del passaggio 4 nella procedura di generazione dello schema:

   

   Al termine, la casella Schema ora contiene lo schema generato in base all'esempio fornito. L'azione Analizza JSON crea campi personalizzati che è ora possibile usare come campi dinamici con tipo matrice nelle azioni successive del flusso di lavoro.

   L'esempio seguente mostra una matrice e i relativi elementi, sia nello schema che nell'elenco di contenuto dinamico per un'azione successiva denominata Compose:

   

Gestisci i tuoi playbook

Selezionare la scheda Automazione > Playbook attivi per visualizzare tutti i playbook a cui si ha accesso, filtrati in base alla visualizzazione della sottoscrizione.

Dopo avere effettuato l'onboarding nel portale di Microsoft Defender, per impostazione predefinita la scheda Playbook attivi mostra un filtro predefinito con l'abbonamento dell'area di lavoro integrata. Nel portale di Azure, modificate le sottoscrizioni da visualizzare dal menu Directory + sottoscrizione nell'intestazione globale della pagina di Azure.

Mentre nella scheda Playbook attivi vengono visualizzati tutti i playbook attivi disponibili in tutte le sottoscrizioni selezionate, per impostazione predefinita un playbook può essere usato solo all'interno della sottoscrizione a cui appartiene, a meno che non si concedano in modo specifico Microsoft Sentinel autorizzazioni al gruppo di risorse del playbook.

La scheda Playbook attivi mostra i playbook con i dettagli seguenti:

Selezionare un playbook per aprire la relativa pagina di App per la logica di Azure, che mostra maggiori dettagli sul playbook. Nella pagina di App per la logica di Azure:

• Visualizza un log di tutte le esecuzioni del playbook
• Visualizzare i risultati dell'esecuzione, inclusi i successi e gli errori e altri dettagli
• Se si dispone delle autorizzazioni pertinenti, aprire il designer del flusso di lavoro in App per la logica di Azure per modificare direttamente il playbook

Contenuto correlato

• Automatizzare ed eseguire i playbook di Microsoft Sentinel
• Autenticare playbook in Microsoft Sentinel
• Usa un playbook di Microsoft Sentinel per bloccare gli utenti potenzialmente compromessi