Generare playbook usando l'intelligenza artificiale in Microsoft Sentinel

Il generatore di playbook SOAR crea flussi di lavoro di automazione basati su Python, sviluppati in collaborazione attraverso un’interazione conversazionale con Cline, un agente IA per la programmazione. Si descrive la logica di automazione nel linguaggio naturale e il sistema genera playbook convalidati basati su codice con documentazione completa e diagrammi di flusso visivo. L'esperienza di generazione dei playbook è alimentata da un ambiente VS Code integrato all'interno del portale Defender, così puoi creare e perfezionare i playbook senza lasciare il portale. I playbook generati usano i dati di avviso come input e generano dinamicamente le chiamate API necessarie, purché si configuri l'integrazione per il provider di destinazione.

Questo articolo descrive come generare playbook usando l'intelligenza artificiale, configurare le integrazioni necessarie e distribuire i flussi di lavoro di automazione.

Il generatore di playbook basato sull'IA è disponibile per i clienti Microsoft Sentinel tramite il portale Microsoft Defender. Non richiede una licenza separata di Microsoft Security Copilot o Security Compute Units.

La generazione di playbook offre le funzionalità seguenti:

• Co-autore con intelligenza artificiale: creare playbook tramite conversazioni in linguaggio naturale con Cline, un agente di codifica di intelligenza artificiale ospitato in un ambiente VS Code incorporato nel portale di Defender.
• Test: dopo aver generato il playbook, è possibile testarlo fornendo un avviso reale come input.
• Documentazione automatica: generare automaticamente la documentazione completa del playbook e i diagrammi di flusso visivo
• Integrazioni di terze parti: connettere facilmente strumenti e API esterni tramite profili di integrazione
• Copertura generale degli avvisi: applicare l'automazione agli avvisi dalle piattaforme Microsoft Sentinel, Microsoft Defender e XDR

Un ambiente VS Code incorporato all'interno del portale di Microsoft Defender supporta l'esperienza. È possibile creare e perfezionare i playbook senza uscire dal portale.

Prerequisiti

Non è necessaria una precedente esperienza di programmazione per generare un playbook, ma è utile avere familiarità con strumenti come VS Code e la registrazione delle app in Entra ID.

È inoltre necessario soddisfare i requisiti seguenti:

Requisiti dell'ambiente

• Spazio di lavoro Microsoft Sentinel: Devi avere un spazio di lavoro Microsoft Sentinel integrato al portale Microsoft Defender.

Ruoli e autorizzazioni necessari

Sono necessarie le autorizzazioni seguenti in Microsoft Defender controllo degli accessi in base al ruolo (RBAC) unificato:

• Per generare e distribuire playbook:

  • Automazione: Manuali di automazione (Lettura e Scrittura)

• Per creare regole di automazione:

  • ruolo Collaboratore di Microsoft Sentinel nelle aree di lavoro o nei gruppi di risorse pertinenti che li contengono in Defender.

Concetti principali

Prima di generare un playbook, comprendere i concetti seguenti su cui si basa il generatore di playbook.

Profili di integrazione

I profili di integrazione sono configurazioni sicure che consentono ai playbook generati di interagire con le API esterne. Ogni integrazione include:

• URL di base
• Metodo di autenticazione
• Credenziali necessarie

Il generatore di playbook usa ogni profilo di integrazione configurato per eseguire chiamate API per il servizio corrispondente. Se l'integrazione non è presente, viene richiesto di crearne una prima di procedere con la generazione di playbook. Gestire i profili di integrazione in modo centralizzato nel portale di Defender nella scheda Automazione . Prima di creare un playbook, assicurarsi di configurare tutte le integrazioni necessarie.

Per aggiungere l'integrazione, selezionare Integrazione dalla scheda Automazione oppure usare il collegamento Aggiungi integrazione nella parte superiore della pagina VS Code. Non è possibile modificare l'URL dei collegamenti di integrazione esistenti. Creare un nuovo collegamento di integrazione, se necessario, ed eliminare quello precedente.

Attivazione avanzata dell'avviso

Il trigger di avviso avanzato estende le funzionalità di automazione oltre il trigger di avviso standard fornendo:

• Copertura più ampia: avvisi di destinazione su piattaforme Microsoft Sentinel, Microsoft Defender e XDR
• Applicazione a livello di tenant: Garantire la coerenza tra più aree di lavoro
• Condizioni avanzate: definire criteri granulari per l'attivazione dell'automazione

L'Enhanced Alert Trigger consente l'esecuzione automatica dei playbook generati in tutto il tuo ecosistema di sicurezza.

Genera un nuovo playbook

Per generare un nuovo playbook, configurare i profili di integrazione necessari e quindi creare il playbook nell'ambiente VS Code incorporato.

Passaggio 1. Creare un profilo di integrazione API Graph e aggiungere tutte le altre integrazioni necessarie da usare

Registrare un'applicazione Microsoft Entra ID e creare un profilo di integrazione API Graph completando i passaggi seguenti:

1. Nel portale di Azure passare a Microsoft Entra ID>Manage>Registrazioni app.

2. Selezionare Nuova registrazione.

   

3. Al termine della registrazione, selezionare la registrazione dell'app e andare a Panoramica.

4. Copiare i valori ID applicazione (client) e ID directory (tenant). Salvare questi valori per un uso successivo.

5. Vai a Gestisci>Certificati & segreti>Segreti client.

6. Selezionare Nuovo segreto client, specificare un nome e una data di scadenza e quindi selezionare Aggiungi.

   

7. Copiare immediatamente il valore del segreto client e archiviarlo in modo sicuro. Non è possibile recuperare di nuovo questo valore.

Creare il profilo di integrazione

Dopo aver registrato l'app, creare il profilo di integrazione nel portale di Microsoft Defender:

1. Nel portale di Microsoft Defender, vai a Microsoft Sentinel>Configurazione>Automazione.

2. Selezionare la scheda Profili di integrazione .

3. Selezionare Crea e specificare le informazioni seguenti:

   Campo	Valore
   Nome dell'integrazione	Qualsiasi nome descrittivo, ad esempio "Graph Integration"
   Descrizione	Breve descrizione, ad esempio "Integrazione con API Microsoft Graph"
   URL DELL'API di base	https://graph.microsoft.com
   Metodo di autenticazione	OAuth2
   ID cliente	Incollare l'ID applicazione (client) copiato in precedenza
   Segreto del client	Incolla il Valore del segreto client che hai copiato in precedenza
   Endpoint del token	https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/token (Sostituisci {TENANT_ID} con l'ID della directory (tenant))
   Ambiti	https://graph.microsoft.com/.default

   

4. Verificare in Microsoft Graph / Application che SecurityAlert.Read.All sia elencato e che lo stato sia Concesso per <tenant>.

Creare profili di integrazione aggiuntivi

Configurate i profili di integrazione per eventuali altri servizi di terze parti utilizzati dai playbook. Ogni integrazione richiede:

• Nome e descrizione univoci
• URL API di base del servizio
• Un metodo di autenticazione (credenziali client OAuth2, chiave API, autenticazione AWS, utente e password, bearer/JWT o Hawk)
• Credenziali appropriate per il metodo di autenticazione selezionato

Passaggio 2. Crea un playbook generato automaticamente

Creare il playbook generato nel portale di Microsoft Defender completando i passaggi seguenti:

1. Selezionare la scheda Playbook.

2. Seleziona Crea>Playbook Generator.

3. Immetti un nome per il playbook e seleziona Continua.

   Con Cline si apre un ambiente Visual Studio Code integrato.

   

Lavora in modalità Pianificazione

Quando si apre l'editor, la sessione del generatore di playbook si avvia in modalità Piano. In questa modalità vengono descritti i requisiti di automazione e il generatore di playbook genera un piano per la revisione.

1. Nell’interfaccia di chat, descrivi in dettaglio i requisiti del playbook. Sii esplicito riguardo a:

   • Quali dati elaborare
   • Azioni da eseguire
   • Quali condizioni valutare
   • Risultati previsti

   Esempio: "Creare un playbook che si attiva in base agli avvisi di phishing. Estrarre l'indirizzo di posta elettronica del mittente. Controllare se l'utente esiste nella directory e, in tal caso, disabilitare temporaneamente il proprio account e inviare una notifica al team di sicurezza." Per altri prompt di esempio, vedere Esempio di caso d'uso.

2. Se il generatore di playbook richiede l'approvazione per recuperare gli URL della documentazione, approvare la richiesta. Questa approvazione consente al generatore di playbook di accedere alla documentazione pertinente dell'API per generare codice accurato.

   

3. Il generatore di playbook analizza la richiesta e potrebbe:

   • Porre domande di chiarimento
   • Richiedere la documentazione dell'API se non è possibile accedervi tramite la ricerca Web
   • Informarti dei profili di integrazione mancanti
   • Generare un piano preliminare e un diagramma di flusso

4. Se il generatore di playbook identifica i profili di integrazione mancanti:

   1. Selezionare Salva e uscire dall'ambiente VS Code.

   2. Creare i profili di integrazione mancanti nella scheda Profili di integrazione .

   3. Ritornare a modificare il playbook per continuare.

   

Esaminare e approvare il piano

Dopo che il generatore di playbook produce un piano, esaminarlo e approvarlo prima di procedere alla generazione del codice:

1. Esaminare attentamente il piano generato e il diagramma di flusso.

2. Se sono necessarie modifiche, descrivere le modifiche nella chat. Il generatore di playbook modifica il piano di conseguenza.

3. Quando si è soddisfatti del piano, seguire le istruzioni e passare alla modalità Act.

   

Generare il playbook in modalità di azione

1. Dopo aver passato la sessione del generatore playbook in modalità Azione, il generatore del playbook fornisce:

   • Codice completo del playbook in Python
   • Convalida del codice
   • Documentazione completa, che include un diagramma di flusso visivo e una descrizione del playbook in linguaggio naturale

2. Il generatore di playbook chiede all'utente di specificare un ID dell'avviso per testare il playbook. Prima di eseguire il test, il generatore di playbook delinea le modifiche che verranno applicate all'ambiente e richiede l'approvazione dell'utente per continuare.

3. Il generatore di playbook potrebbe richiedere l'approvazione per la generazione del codice. Per abilitare la generazione automatica senza richieste di approvazione, selezionare la casella di controllo Modifica in Approvazione automatica.

   

   Consiglio

   Quando selezioni Salva nella chat, il generatore del playbook salva il passaggio corrente e conferma la tua approvazione. Non salva l'intero manuale operativo.

Convalidare e salvare il playbook

1. Per garantire la correttezza, esaminare manualmente il codice e la documentazione generati.

2. Per visualizzare in anteprima la documentazione in formato Markdown:

   • Windows/Linux: premere CTRL + MAIUSC + V
   • macOS: premere Cmd + Maiusc + V

3. Selezionare Salva in basso a sinistra dell'editor.

   Il playbook viene creato in modalità disabilitata.

4. Al termine, chiudere l'editor.

   

Abilita e distribuisci il tuo playbook

Dopo la creazione, il playbook generato richiede l'attivazione e un trigger di avviso per iniziare ad automatizzare le risposte.

Abilita il playbook

I playbook generati vengono creati in uno stato disabilitato. Abilita il playbook completando i seguenti passaggi:

1. Nella pagina Automazione, selezionare la scheda Playbook attivi.

2. Trovare il playbook appena creato.

3. Imposta lo stato del playbook su Attiva.

Creare un trigger di avviso avanzato

Creare un trigger di avviso avanzato per eseguire automaticamente il playbook quando vengono soddisfatte condizioni di avviso specifiche:

1. Passare alla scheda Regole di automazione .

2. Selezionare Crea per definire una nuova regola con trigger avanzato.

3. Imposta le condizioni di attivazione:

   Impostazione	Descrizione
   Condizioni	Definire criteri come titolo dell'avviso, gravità, provider o altri attributi
   Aree di lavoro	Selezionare una o più aree di lavoro in cui si applica questa regola. Le aree di lavoro che richiedono autorizzazioni aggiuntive vengono visualizzate in grigio
   Azioni	Selezionare Esegui playbook e scegliere il proprio playbook abilitato

4. Seleziona Salva.

Il playbook generato viene ora eseguito automaticamente quando vengono generati avvisi che corrispondono alle condizioni specificate.

Monitorare l'esecuzione del playbook

Per visualizzare i dettagli di esecuzione del playbook generato:

1. Passare alla pagina dell'evento imprevisto che contiene l'avviso pertinente.

2. Selezionare la scheda Attività .

3. Individua la riga denominata run playbook per visualizzare lo stato di esecuzione e i dettagli.

Esempio di caso d'uso

Di seguito sono riportati alcuni esempi di richieste che è possibile usare per generare playbook per scenari comuni:

• Crea un playbook che arricchisce le entità URL dell'avviso con i dati di VirusTotal e aggiunge i risultati come commento all'incidente correlato.
• Creare un playbook che blocca un utente IAM di AWS, assegna l'avviso a John e aggiunge un commento di correzione quando un avviso con gravità elevata include un'entità utente IAM.

Limitazioni dei playbook generati dall'IA

Quando si usano playbook generati, tenere presente le limitazioni seguenti:

Limitazioni del playbook

I playbook generati presentano le limitazioni seguenti:

• Supporto del linguaggio: solo Python è supportato per la creazione di playbook
• Vincoli di input: attualmente, i playbook accettano solo avvisi come tipo di input.
• Modifica simultanea: un singolo utente può modificare un solo playbook alla volta. Tuttavia, più utenti possono modificare diversi playbook contemporaneamente
• Supporto della libreria: le librerie esterne non sono attualmente supportate
• Convalida del codice: non viene fornita alcuna convalida automatica del codice. Gli utenti devono verificare manualmente la correttezza
• Numero di playbook: è possibile creare fino a 100 playbook per tenant
• Dimensioni del playbook: ogni playbook può avere fino a 5.000 righe
• Runtime: il runtime massimo per ogni esecuzione del playbook è di 10 minuti
• Integrazioni: il numero massimo di integrazioni per tenant è 500.
• Interazioni con intelligenza artificiale: massimo 8 milioni di token al giorno per tenant
• Annidamento dei playbook: le chiamate tra playbook non sono supportate. Un playbook non può richiamare un altro playbook.

Limitazioni dei profili di integrazione

I profili di integrazione presentano le limitazioni seguenti:

• Limitazioni di integrazione: le integrazioni di Microsoft Graph e Azure Resource Manager non sono abilitate per impostazione predefinita e devono essere create manualmente
• Metodi di autenticazione: i metodi disponibili includono le credenziali client OAuth2, la chiave API, l'autenticazione AWS, l'utente e la password, l'autenticazione bearer/JWT e Hawk
• Configurazione dell'integrazione: l'URL dell'API e il metodo di autenticazione non possono essere modificati dopo la creazione

Limitazioni del trigger di avviso delle regole di automazione

Le regole di trigger di avviso avanzate presentano le limitazioni seguenti:

• Limitazioni dei trigger: le regole dei trigger di avviso avanzati non supportano l'ordinamento per priorità né le date di scadenza
• Azioni disponibili: attualmente, le uniche azioni disponibili sono l'attivazione di playbook generati e l'aggiornamento degli avvisi delle azioni
• Autorizzazioni dell'area di lavoro: è necessario specificare in modo esplicito le aree di lavoro in cui si dispone delle autorizzazioni. il trigger non si applica alle aree di lavoro a cui non è possibile accedere.
• Tabelle di regole separate – Le regole di attivazione degli avvisi avanzati si trovano accanto alle regole di attivazione degli avvisi standard in una tabella separata delle regole di automazione. Attualmente non è stata eseguita la migrazione automatica delle regole del trigger di avviso Standard.
• Visibilità dei risultati dell'esecuzione: i risultati dell'esecuzione delle regole di automazione non vengono scritti nella tabella di integrità Sentinel. Tuttavia, è possibile visualizzare le esecuzioni e i relativi risultati nella scheda Attività dell'Incidente che contiene l'avviso interessato.
• Il numero massimo di regole di automazione attive che è possibile creare è 500 per tenant.
• È possibile eseguire un'azione per regola.

Contenuto correlato

• Creare e gestire i playbook di Microsoft Sentinel
• Automatizzare ed eseguire i playbook di Microsoft Sentinel
• Autenticare playbook in Microsoft Sentinel