Eseguire la migrazione dell'automazione SOAR di ArcSight a Microsoft Sentinel

Microsoft Sentinel offre funzionalità di orchestrazione, automazione e risposta di sicurezza (SOAR) con regole di automazione e playbook. Le regole di automazione automatizzano la gestione e la risposta agli eventi imprevisti e i playbook eseguono sequenze predeterminate di azioni per rispondere e correggere le minacce. Questo articolo illustra come identificare i casi d'uso soar e come eseguire la migrazione dell'automazione ARCSight SOAR a Microsoft Sentinel.

Le regole di automazione semplificano flussi di lavoro complessi per i processi di orchestrazione degli eventi imprevisti e consentono di gestire centralmente l'automazione della gestione degli eventi imprevisti.

Con le regole di automazione, è possibile:

• Eseguire semplici attività di automazione senza usare necessariamente playbook. Ad esempio, è possibile assegnare, assegnare tag agli eventi imprevisti, modificare lo stato e chiudere gli eventi imprevisti.
• Automatizzare le risposte per più regole di analisi contemporaneamente.
• Controllare l'ordine delle azioni eseguite.
• Eseguire i playbook per i casi in cui sono necessarie attività di automazione più complesse.

Identifica i casi d'uso SOAR

Ecco cosa devi considerare quando migri casi d'uso SOAR da ArcSight:

• Qualità dei casi d'uso: Scegli buoni casi d'uso per l'automazione. I casi d'uso dovrebbero basarsi su procedure chiaramente definite, con variazioni minime e un basso tasso di falsi positivi. L'automazione deve funzionare con casi d'uso efficienti.
• Intervento manuale: La risposta automatica può avere effetti di ampia gamma e le automazioni ad alto impatto dovrebbero avere l'intervento umano per confermare le azioni ad alto impatto prima che vengano eseguite.
• Criteri binari: Per aumentare il successo della risposta, i punti decisionali all'interno di un flusso di lavoro automatizzato dovrebbero essere il più limitati possibile, con criteri binari. I criteri binari riducono la necessità di interventi umani e aumentano la prevedibilità degli esiti.
• Allerti o dati accurati: Le azioni di risposta dipendono dall'accuratezza dei segnali come gli allarmi. Gli avvisi e le origini di arricchimento devono essere affidabili. Le risorse di Microsoft Sentinel, come le watchlist e le informazioni attendibili sulle minacce, possono migliorare l'affidabilità.
• Ruolo dell'analista: sebbene l'automazione, dove possibile, sia ottima, riserva compiti più complessi agli analisti e offri loro l'opportunità di input nei flussi di lavoro che richiedono validazione. In breve, l'automazione delle risposte deve aumentare ed estendere le funzionalità degli analisti.

Migra i flussi di lavoro SOAR ai playbook di Microsoft Sentinel

Il mapping seguente illustra il modo in cui i concetti chiave SOAR in ArcSight vengono convertiti in componenti Microsoft Sentinel e forniscono linee guida generali su come eseguire la migrazione di ogni passaggio o componente nel flusso di lavoro SOAR.

Mappare i componenti di ArcSight SOAR alle capacità di Microsoft Sentinel

Esaminare le funzionalità di app per la logica Microsoft Sentinel o Azure mappate ai componenti principali di ArcSight SOAR. In ArcSight, un trigger avvia un flusso di lavoro basato su un evento o una condizione, un'azione esegue un compito specifico in risposta e i playbook definiscono la sequenza orchestrata delle azioni. La tabella seguente mappa questi componenti ai loro equivalenti Microsoft Sentinel.

Rendere operativi i playbook e le regole di automazione in Microsoft Sentinel

La maggior parte dei playbook che utilizzi con Microsoft Sentinel è disponibile nella scheda Modelli di automazione >, nel catalogo di Content hub o nei playbook di Microsoft Sentinel in GitHub. In alcuni casi, tuttavia, potrebbe essere necessario creare playbook da zero o da modelli esistenti.

In genere si crea l'app per la logica personalizzata usando la funzionalità Progettazione app per la logica di Azure. Il codice delle app per la logica si basa su modelli di Azure Resource Manager (ARM), che facilitano lo sviluppo, la distribuzione e la portabilità di app per la logica Azure in più ambienti. Per convertire il playbook personalizzato in un modello arm portatile, è possibile usare il generatore di modelli arm.

Usare le seguenti risorse di automazione e i playbook di Microsoft Sentinel nei casi in cui è necessario creare playbook personalizzati da zero o a partire da modelli esistenti.

• Automatizzare la gestione degli eventi imprevisti in Microsoft Sentinel
• Automatizzare la risposta alle minacce tramite playbook in Microsoft Sentinel
• Tutorial: usare i playbook con le regole di automazione in Microsoft Sentinel
• Come usare Microsoft Sentinel per la risposta agli eventi imprevisti, l'orchestrazione e l'automazione
• Schede adattive per migliorare la risposta agli eventi imprevisti in Microsoft Sentinel

Migliori pratiche post-migrazione per SOAR in Microsoft Sentinel

Ecco le procedure consigliate da tenere in considerazione dopo la migrazione SOAR:

• Dopo aver eseguito la migrazione dei playbook, testate approfonditamente i playbook per assicurarvi che le azioni migrate funzionino come previsto.
• Esaminare periodicamente le automazioni per esplorare i modi per semplificare o migliorare ulteriormente il soar. Microsoft Sentinel aggiunge costantemente nuovi connettori e azioni che consentono di semplificare o aumentare ulteriormente l'efficacia delle implementazioni di risposta correnti.
• Monitorare le prestazioni dei playbook con la cartella di lavoro per il monitoraggio dell'integrità dei playbook.
• Usare identità gestite ed entità di servizio: autenticarsi a vari servizi di Azure all'interno di App per la logica, archiviare i segreti in Azure Key Vault e oscurare l'output di esecuzione del flusso. Raccomandiamo inoltre di monitorare gli accessi non interattivi del principale servizio in Microsoft Sentinel.

Passo successivo