Microsoft Sentinel automatiseringsregels maken en gebruiken om reacties te beheren

In dit artikel wordt uitgelegd hoe u automatiseringsregels maakt en gebruikt in Microsoft Sentinel om de reactie op bedreigingen te beheren en te organiseren, om de efficiëntie en effectiviteit van uw SOC te maximaliseren.

In dit artikel leert u hoe u de triggers en voorwaarden definieert die bepalen wanneer uw automatiseringsregel wordt uitgevoerd, de verschillende acties die u de regel kunt laten uitvoeren en de resterende functies en functies.

Uw automatiseringsregel ontwerpen

Voordat u een automatiseringsregel maakt, raden we u aan het bereik en het ontwerp ervan te bepalen, inclusief de trigger, voorwaarden en acties waaruit uw regel bestaat.

Het bereik bepalen

De eerste stap bij het ontwerpen en definiëren van uw automatiseringsregel is uitzoeken op welke incidenten of waarschuwingen u deze wilt toepassen. Bepalen op welke incidenten of waarschuwingen de regel van toepassing is, heeft rechtstreeks invloed op hoe u de regel opstelt.

U wilt ook uw use-case bepalen. Wat probeert u te bereiken met deze automatisering? Overweeg de volgende opties:

• Maak taken voor uw analisten die moeten worden gevolgd bij het opsporen, onderzoeken en oplossen van incidenten.
• Ruisincidenten onderdrukken. (U kunt ook andere methoden gebruiken om om te gaan met false positives in Microsoft Sentinel.)
• Sorteer nieuwe incidenten door de status te wijzigen van Nieuw in Actief en een eigenaar toe te wijzen.
• Tag incidenten om ze te classificeren.
• Escaleer een incident door een nieuwe eigenaar toe te wijzen.
• Sluit opgeloste incidenten, geef een reden op en voeg opmerkingen toe.
• Analyseer de inhoud van het incident (waarschuwingen, entiteiten en andere eigenschappen) en onderneem verdere actie door een playbook aan te roepen.
• Een waarschuwing verwerken of erop reageren zonder een bijbehorende incident.

De trigger bepalen

Wil je dat deze automatiseringsregel wordt geactiveerd wanneer nieuwe incidenten of meldingen worden aangemaakt? Of wanneer een incident wordt bijgewerkt?

Automatiseringsregels worden geactiveerd wanneer een incident wordt gemaakt of bijgewerkt of wanneer er een waarschuwing wordt gemaakt. Denk eraan dat incidenten waarschuwingen bevatten en dat zowel waarschuwingen als incidenten kunnen worden gemaakt door analyseregels, waarvan er verschillende typen zijn, zoals uitgelegd in Bedreigingsdetectie in Microsoft Sentinel.

In de volgende tabel ziet u de verschillende mogelijke scenario's die ertoe leiden dat een automatiseringsregel wordt uitgevoerd.

Uw automatiseringsregel maken

De volgende stappen zijn van toepassing op de meeste scenario's voor het maken van automatiseringsregels.

Als u incidenten met veel ruis wilt onderdrukken en in de Azure-portal werkt, kunt u valse positieven afhandelen proberen.

Zie Automatische antwoorden instellen en de regel maken als u een automatiseringsregel wilt maken om toe te passen op een specifieke analyseregel.

Om je automatiseringsregel te maken:

1. Voor Microsoft Sentinel in de Azure-portal selecteert u de pagina Configuratie>Automatisering. Voor Microsoft Sentinel in het Defender-portal selecteert u Microsoft Sentinel>Configuratie>Automatisering.

2. Selecteer op de pagina Automatisering in het navigatiemenu van Microsoft Sentinel in het menu bovenaan Maken en kies Automatiseringsregel.

   • Defender-portal
   • Azure Portal

   

3. Het deelvenster Nieuwe automatiseringsregel maken wordt geopend. Voer in het veld Naam van automatiseringsregel een naam in voor de regel.

Uw trigger kiezen

Selecteer in het Trigger-dropdown de trigger die overeenkomt met wanneer je wilt dat de automatiseringsregel wordt uitgevoerd—Wanneer het incident wordt aangemaakt, Wanneer het incident wordt bijgewerkt, of Wanneer een alert wordt aangemaakt.

Voorwaarden definiëren

Gebruik de opties in het gebied Voorwaarden om voorwaarden voor uw automatiseringsregel te definiëren. Alle voorwaarden zijn niet hoofdlettergevoelig.

• Regels die u maakt voor wanneer een waarschuwing wordt gemaakt, ondersteunen alleen de eigenschap If Analytics-regelnaam in uw voorwaarde. Selecteer of de regel inclusief (bevat) of exclusief (bevat niet) moet zijn en selecteer vervolgens de naam van de analytische regel in de vervolgkeuzelijst.

  Analytische regelnaamwaarden omvatten alleen analyseregels en bevatten geen andere typen regels, zoals bedreigingsinformatie of anomalieregels.

• Regels die u maakt voor wanneer een incident wordt gemaakt of bijgewerkt, ondersteunen een groot aantal voorwaarden, afhankelijk van uw omgeving. De beschikbare voorwaardeopties hangen af van de vraag of u Microsoft Sentinel hebt geïntegreerd in de Defender-portal:

  • Toegevoegd aan het Defender-portal
  • Niet geregistreerd in de Defender-portal

  Als uw werkruimte is toegevoegd aan de Defender-portal, selecteert u eerst een van de volgende operators in de Azure of de Defender-portal:

  • AND: afzonderlijke voorwaarden die als groep worden geëvalueerd. De regel wordt uitgevoerd als aan alle voorwaarden van dit type is voldaan.

    Als u wilt werken met de operator AND , selecteert u het uitvouwprogramma + Toevoegen en kiest u Voorwaarde (En) in de vervolgkeuzelijst. De lijst met voorwaarden wordt ingevuld door velden voor incidenteigenschappen en entiteitseigenschap .

  • OF (ook wel voorwaardegroepen genoemd): groepen voorwaarden, die elk afzonderlijk worden geëvalueerd. De regel wordt uitgevoerd als een of meer groepen voorwaarden waar zijn. Zie Geavanceerde voorwaarden toevoegen aan automatiseringsregels voor meer informatie over het werken met deze complexe typen voorwaarden.

  Bijvoorbeeld:

  

  Als u Wanneer een incident wordt bijgewerkt als trigger hebt geselecteerd, begint u met het definiëren van uw voorwaarden en voegt u zo nodig extra operatoren en waarden toe.

Om je aandoeningen te definiëren:

1. Selecteer een eigenschap in de eerste vervolgkeuzelijst aan de linkerkant. U kunt beginnen met het typen van een deel van de naam van een eigenschap in het zoekvak om de lijst dynamisch te filteren, zodat u snel kunt vinden wat u zoekt.

   

2. Selecteer een operator in de volgende vervolgkeuzelijst aan de rechterkant.

   De lijst met operators waaruit u kunt kiezen, is afhankelijk van de geselecteerde trigger en eigenschap. Wanneer u in de Defender-portal werkt, wordt u aangeraden de naamvoorwaarde van de analytische regel te gebruiken in plaats van een incidenttitel.

   Voorwaarden die beschikbaar zijn met de trigger voor het maken

   Eigenschap	Operatorenset
   - Titel -Beschrijving - Alle eigendommen van de genoteerde entiteit   (zie ondersteunde entiteitseigenschappen)	- Is gelijk aan/is niet gelijk aan - Bevat/bevat niet - Begint met/begint niet met - Eindigt met/eindigt niet op
   - Tag (zie individueel versus collectie)	Elke individuele tag: - Is gelijk aan/is niet gelijk aan - Bevat/bevat niet - Begint met/begint niet met - Eindigt met/eindigt niet op Verzameling van alle tags: - Bevat/bevat niet
   - Ernst - Status - Sleutel voor aangepaste details	- Is gelijk aan/is niet gelijk aan
   - Tactieken - Waarschuw productnamen - Waarde van aangepaste details - Naam van de analytische regel	- Bevat/bevat niet

   Voorwaarden die beschikbaar zijn met de updatetrigger

   Eigenschap	Operatorenset
   - Titel -Beschrijving - Alle eigendommen van de genoteerde entiteit   (zie ondersteunde entiteitseigenschappen)	- Is gelijk aan/is niet gelijk aan - Bevat/bevat niet - Begint met/begint niet met - Eindigt met/eindigt niet op
   - Tag (zie individueel versus collectie)	Elke individuele tag: - Is gelijk aan/is niet gelijk aan - Bevat/bevat niet - Begint met/begint niet met - Eindigt met/eindigt niet op Verzameling van alle tags: - Bevat/bevat niet
   - Tag (naast het bovenstaande) -Waarschuwingen - Reacties	-Toegevoegd
   - Ernst - Status	- Is gelijk aan/is niet gelijk aan -Gewijzigd - Gewijzigd van - Gewijzigd naar
   - Eigenaar	-Gewijzigd. Als de eigenaar van een incident wordt bijgewerkt via de API, moet u de userPrincipalName of ObjectID opnemen om de wijziging te laten detecteren door automatiseringsregels.
   - Bijgewerkt door - Sleutel voor aangepaste details	- Is gelijk aan/is niet gelijk aan
   - Tactieken	- Bevat/bevat niet -Toegevoegd
   - Waarschuw productnamen - Waarde van aangepaste details - Naam van de analytische regel	- Bevat/bevat niet

   Voorwaarden die beschikbaar zijn met de waarschuwingstrigger

   De enige voorwaarde die kan worden geëvalueerd door regels op basis van de trigger voor het maken van waarschuwingen, is welke Microsoft Sentinel analyseregel de waarschuwing heeft gemaakt.

   Automatiseringsregels die zijn gebaseerd op de waarschuwingstrigger, worden alleen uitgevoerd op waarschuwingen die zijn gemaakt door Microsoft Sentinel.

3. Voer een waarde in het veld aan de rechterkant in. Afhankelijk van de eigenschap die u hebt gekozen, kan dit een tekstvak of een vervolgkeuzelijst zijn waarin u selecteert in een gesloten lijst met waarden. Mogelijk kunt u ook verschillende waarden toevoegen door het dobbelsteenpictogram rechts van het tekstvak te selecteren.

   

Zie Geavanceerde voorwaarden toevoegen aan automatiseringsregels voor informatie over het instellen van complexe of voorwaarden met verschillende velden.

Voorwaarden op basis van tags

U kunt twee soorten voorwaarden maken op basis van tags:

• Voorwaarden met Alle afzonderlijke tagoperators evalueren de opgegeven waarde op basis van elke tag in de verzameling. De evaluatie is waar wanneer ten minste één tag voldoet aan de voorwaarde.
• Voorwaarden met Verzameling van alle tagsoperators evalueren de opgegeven waarde op basis van de verzameling tags als één eenheid. De evaluatie is alleen true als de verzameling als geheel aan de voorwaarde voldoet.

Voer de volgende stappen uit om een van deze voorwaarden toe te voegen op basis van de tags van een incident:

1. Maak een nieuwe automatiseringsregel zoals hierboven wordt beschreven.

2. Voeg een voorwaarde of een voorwaardegroep toe.

3. Selecteer Tag in de vervolgkeuzelijst Eigenschappen.

4. Selecteer de vervolgkeuzelijst met operatoren om de beschikbare operatoren weer te geven waaruit u kunt kiezen.

   • Geactiveerde werkruimten
   • Werkruimtes niet aangemeld

   

   De operators zijn onderverdeeld in twee categorieën: elke afzonderlijke tag en verzameling van alle tags. Kies uw operator zorgvuldig op basis van hoe u de tags wilt evalueren.

   Zie Tag-eigenschap : individueel versus verzameling voor meer informatie.

Voorwaarden op basis van aangepaste details

U kunt de waarde van een aangepast detail dat wordt weergegeven in een incident instellen als voorwaarde voor een automatiseringsregel. Vergeet niet dat aangepaste details gegevenspunten zijn in onbewerkte gebeurtenislogboekvermeldingen die zichtbaar kunnen worden gemaakt en weergegeven in waarschuwingen en in de incidenten die eruit worden gegenereerd. Gebruik aangepaste details om toegang te krijgen tot de werkelijke relevante inhoud in uw waarschuwingen zonder queryresultaten te hoeven doorzoeken.

Bekende beperking: Wanneer u aangepaste detailwaarden gebruikt, wordt de operator Bevat niet mogelijk niet correct geëvalueerd wanneer meerdere (twee of meer) verschillende waarden aanwezig zijn.

Om een voorwaarde toe te voegen op basis van een aangepaste detail:

1. Maak een nieuwe automatiseringsregel zoals beschreven in Uw automatiseringsregel maken.

2. Voeg een voorwaarde of een voorwaardegroep toe.

3. Selecteer Aangepaste details-sleutel in de vervolgkeuzelijst Eigenschappen. Selecteer Is gelijk aan of Is niet gelijk aan in de vervolgkeuzelijst met operators.

   Voor de voorwaarde voor aangepaste details zijn de waarden in de laatste vervolgkeuzelijst afkomstig van de aangepaste details die zijn weergegeven in alle analyseregels die in de eerste voorwaarde worden vermeld. Selecteer het aangepaste detail dat u als voorwaarde wilt gebruiken.

   

4. U hebt het veld gekozen dat u wilt evalueren voor deze voorwaarde. Geef nu de waarde op die in dat veld verschijnt en ervoor zorgt dat deze voorwaarde als waar wordt geëvalueerd.
   Selecteer + Itemvoorwaarde toevoegen.

   

   De regel met waardevoorwaarde staat hieronder.

   

5. Selecteer Bevat of Bevat niet in de vervolgkeuzelijst operators. Voer in het tekstvak rechts de waarde in waarvoor u wilt dat de voorwaarde als true wordt geëvalueerd.

   

Als het incident in dit voorbeeld de aangepaste details DestinationEmail heeft en als de waarde van dat detail is pwned@bad-botnet.com, worden de acties uitgevoerd die zijn gedefinieerd in de automatiseringsregel.

Acties toevoegen

Kies de acties die u met deze automatiseringsregel wilt uitvoeren. Beschikbare acties omvatten eigenaar toewijzen, status wijzigen, ernstniveau wijzigen, tags toevoegen en playbook uitvoeren. U kunt zoveel acties toevoegen als u wilt.

Als uw werkruimte is toegevoegd aan de Microsoft Defender-portal, voegt Simple Flows (preview) meer vooraf gemaakte case- en waarschuwingsacties toe aan deze lijst waarvoor geen playbook is vereist: Verzonden case gemaakt/bijgewerkt/SLA overschreden e-mail, updatecase, taak toevoegen en waarschuwing bijwerken.

Voor welke actie u ook kiest, vult u de velden in die voor die actie worden weergegeven op basis van wat u wilt doen.

Als u een Run playbook-actie toevoegt, wordt u gevraagd een keuze te maken uit de vervolgkeuzelijst met beschikbare playbooks.

• Alleen playbooks die starten met de incidenttrigger, kunnen vanuit automatiseringsregels worden uitgevoerd met een van de incidenttriggers, daarom worden alleen die in de lijst weergegeven. Evenzo zijn alleen playbooks die starten met de waarschuwingstrigger beschikbaar in automatiseringsregels die de waarschuwingstrigger gebruiken.

• Microsoft Sentinel moet expliciete machtigingen krijgen om playbooks uit te voeren. Als een playbook niet beschikbaar lijkt in de vervolgkeuzelijst, betekent dit dat Sentinel niet over de machtigingen beschikt om toegang te krijgen tot de resourcegroep van dat playbook. Als u machtigingen wilt toewijzen, selecteert u de koppeling Playbook-machtigingen beheren .

  Schakel in het deelvenster Machtigingen beheren dat wordt geopend de selectievakjes in van de resourcegroepen met de playbooks die u wilt uitvoeren en selecteer Toepassen.

  

  U moet zelf eigenaarsmachtigingen hebben voor elke resourcegroep waaraan u Microsoft Sentinel machtigingen wilt verlenen en u moet de rol Microsoft Sentinel Automation-inzender hebben voor elke resourcegroep met playbooks die u wilt uitvoeren.

• Als u nog geen playbook hebt waarmee de gewenste actie wordt uitgevoerd, maakt u een nieuw playbook. U moet het proces voor het maken van de automatiseringsregel afsluiten en opnieuw starten nadat u uw playbook hebt gemaakt.

Acties verplaatsen

U kunt de volgorde van de acties in uw regel wijzigen, zelfs nadat u deze hebt toegevoegd. Selecteer de blauwe pijl-omhoog of pijl-omlaag naast elke actie om deze één stap omhoog of omlaag te verplaatsen.

Voltooi het aanmaken van uw regel

Voltooi de resterende instellingen om de automatiseringsregel te voltooien:

1. Als u wilt dat uw automatiseringsregel verloopt onder Regelverloop, stelt u een vervaldatum en optioneel een tijd in. Laat dit anders staan op Onbepaald.

2. Het veld Order wordt vooraf ingevuld met het volgende beschikbare nummer voor het triggertype van uw regel. Dit getal bepaalt op welke plaats in de reeks automatiseringsregels (van hetzelfde triggertype) deze regel wordt uitgevoerd. U kunt het nummer wijzigen als u wilt dat deze regel vóór een bestaande regel wordt uitgevoerd.

   Zie Notities over uitvoeringsvolgorde en prioriteit voor meer informatie.

3. Selecteer Toepassen. U bent klaar.

Activiteit van automatiseringsregels controleren

Ontdek wat automatiseringsregels kunnen hebben gedaan met een bepaald incident. U hebt een volledige record van incident kronieken beschikbaar in de tabel SecurityIncident op de pagina Logboeken in de Azure Portal of op de pagina Geavanceerde opsporing in de Defender-portal. Met de volgende Kusto-query worden alle incidenten opgehaald die zijn gewijzigd door een automatiseringsregel, zodat u kunt controleren welke acties automatisch zijn uitgevoerd:

SecurityIncident
| where ModifiedBy contains "Automation"

Uitvoering van automatiseringsregels

Automatiseringsregels worden opeenvolgend uitgevoerd, volgens de volgorde die u bepaalt. Elke automatiseringsregel wordt uitgevoerd nadat de vorige is uitgevoerd. Binnen een automatiseringsregel worden alle acties opeenvolgend uitgevoerd in de volgorde waarin ze zijn gedefinieerd. Zie Opmerkingen over uitvoeringsvolgorde en prioriteit voor meer informatie.

Playbook-acties binnen een automatiseringsregel kunnen onder bepaalde omstandigheden anders worden behandeld, volgens de volgende criteria:

Verwante onderwerpen

• Voeg geavanceerde voorwaarden toe aan de automatiseringsregels van Microsoft Sentinel.
• Incidentafhandeling in Microsoft Sentinel automatiseren met automatiseringsregels
• Automatiseer dreigingsrespons met playbooks in Microsoft Sentinel.
• Maak incidenttaken aan in Microsoft Sentinel met behulp van automatiseringsregels.
• Migreer je Microsoft Sentinel alert-trigger playbooks naar automatiseringsregels
• Tutorial: Gebruik playbooks om dreigingsreacties in Microsoft Sentinel te automatiseren.