Incidenttaken maken en uitvoeren in Microsoft Sentinel met behulp van playbooks

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

In dit artikel wordt uitgelegd hoe u playbooks gebruikt om incidenttaken te maken en eventueel uit te voeren voor het beheren van complexe werkstroomprocessen voor analisten in Microsoft Sentinel.

Gebruik de actie Taak toevoegen in een playbook in de connector Microsoft Sentinel om automatisch een taak toe te voegen aan het incident dat het playbook heeft geactiveerd. Zowel standaardwerkstromen als verbruikswerkstromen worden ondersteund. Voordat u begint, moet u ervoor zorgen dat u voldoet aan de vereisten, inclusief vereiste roltoewijzingen.

Tip

Incidenttaken kunnen niet alleen automatisch worden gemaakt door playbooks, maar ook door automatiseringsregels en ook handmatig, ad-hoc, vanuit een incident.

Zie Taken gebruiken voor het beheren van incidenten in Microsoft Sentinel voor meer informatie.

Vereisten

Voordat u begint, moet u ervoor zorgen dat u over de volgende rollen en machtigingen beschikt:

  • De rol Microsoft Sentinel Responder is vereist voor het weergeven en bewerken van incidenten. Dit is nodig om taken toe te voegen, weer te geven en te bewerken.

  • De rol Logic Apps-inzender is vereist voor het maken en bewerken van playbooks.

Zie vereisten voor Microsoft Sentinel playbook voor meer informatie.

Een playbook gebruiken om een taak toe te voegen en uit te voeren

In de volgende voorbeeldprocedure ziet u hoe u playbookacties toevoegt waarmee het wachtwoord van een aangetaste gebruiker opnieuw wordt ingesteld:

  • Hiermee voegt u een taak toe aan het incident, waarbij het wachtwoord van een gecompromitteerde gebruiker opnieuw wordt instellen
  • Voegt nog een playbook-actie toe om een signaal te verzenden naar Microsoft Entra Id-beveiliging (AADIP) om het wachtwoord daadwerkelijk opnieuw in te stellen
  • Voegt een laatste playbook-actie toe om de taak in het incident als voltooid te markeren.

Voer de volgende stappen uit om de acties voor het maken, opnieuw instellen van wachtwoorden en het voltooien van taken toe te voegen en te configureren:

  1. Voeg vanuit de connector Microsoft Sentinel de actie Taak toevoegen aan incident toe en vervolgens:

    1. Selecteer het item met dynamische inhoud Incident ARM ID voor het veld Incident ARM id.

    2. Voer Het gebruikerswachtwoord opnieuw instellen in als titel.

    3. Voeg een optionele beschrijving toe.

    Bijvoorbeeld:

    De schermafbeelding toont de playbookacties voor het toevoegen van een taak om het wachtwoord van een gebruiker opnieuw in te stellen.

  2. Voeg de actie Entiteiten - Accounts ophalen (Preview) toe. Voeg het item Dynamische inhoud van entiteiten (uit het Microsoft Sentinel-incidentschema) toe aan het veld Lijst met entiteiten. Bijvoorbeeld:

    De schermafbeelding toont de playbookacties om de accountentiteiten in het incident op te halen.

  3. Voeg een For each-lus toe uit de actiebibliotheek Besturingselement. Voeg het dynamische inhoudsitem Accounts uit de uitvoer van Entiteiten - Accounts ophalen toe aan het veld Een uitvoer uit de vorige stappen selecteren. Bijvoorbeeld:

    Schermafbeelding laat zien hoe u een for-each-lusactie aan een playbook toevoegt om voor elk gedetecteerd account een actie uit te voeren.

  4. Selecteer Een actie toevoegen in de lus Voor elke. Voer vervolgens de volgende handelingen uit:

    1. Zoek en selecteer de connector Microsoft Entra Id-beveiliging
    2. Kies de actie Een risicovolle gebruiker markeren als gecompromitteerd (Preview).
    3. Voeg het item voor dynamische inhoud Accounts Microsoft Entra user ID toe aan het veld userIds Item - 1.

    Met de actie Een risicovolle gebruiker als gecompromitteerd bevestigen worden in Microsoft Entra Id-beveiliging processen in gang gezet om het wachtwoord van de gebruiker opnieuw in te stellen.

    Schermopname van het verzenden van entiteiten naar AADIP om het inbreuk te bevestigen.

    Opmerking

    Het veld Accounts Microsoft Entra gebruikers-id is een manier om een gebruiker in AADIP te identificeren. Het is misschien niet per se de beste manier in elk scenario, maar wordt hier als voorbeeld gebracht.

    Raadpleeg voor ondersteuning andere playbooks die betrekking hebben op gecompromitteerde gebruikers, of de documentatie van Microsoft Entra Id-beveiliging.

  5. Voeg de actie Een taak markeren als voltooid toe vanuit de connector Microsoft Sentinel en voeg het dynamische inhoudsitem Incidenttaak-id toe aan het veld Taak-ARM-id. Bijvoorbeeld:

    Schermopname die laat zien hoe u een playbookactie toevoegt om een incidenttaak voltooid te markeren.

Een playbook gebruiken om een taak voorwaardelijk toe te voegen

In de volgende voorbeeldprocedure ziet u hoe u een playbookactie toevoegt waarmee een IP-adres wordt onderzocht dat in een incident wordt weergegeven.

  • Als de resultaten van dit onderzoek zijn dat het IP-adres kwaadaardig is, creëert het playbook een taak voor de analist om de gebruiker die aan het onderzochte IP-adres is gekoppeld uit te schakelen.
  • Als het IP-adres geen bekend schadelijk adres is, maakt het playbook een andere taak, zodat de analist contact kan opnemen met de gebruiker om de activiteit te verifiëren.

Voer de volgende stappen uit om de voorwaarde voor IP-onderzoek en de acties voor het voorwaardelijk aanmaken van taken toe te voegen en te configureren:

  1. Voeg vanuit de connector Microsoft Sentinel de actie Entiteiten - IP-adressen ophalen toe. Voeg het item Dynamische inhoud van entiteiten (uit het Microsoft Sentinel-incidentschema) toe aan het veld Lijst met entiteiten. Bijvoorbeeld:

    De schermafbeelding toont de acties in het playbook om de IP-adresentiteiten in het incident op te halen.

  2. Voeg een For each-lus toe uit de actiebibliotheek Besturingselement. Voeg het dynamische-inhouditem IPs uit de uitvoer van Entiteiten - IP-adressen ophalen toe aan het veld Een uitvoer uit de vorige stappen selecteren. Bijvoorbeeld:

    Schermafbeelding laat zien hoe u een for-each-lusactie aan een playbook toevoegt om een actie uit te voeren op elk gedetecteerd IP-adres.

  3. In de Voor elke-lus selecteer je Een actie toevoegen en vervolgens:

    1. Zoek de connector Virus Total en selecteer deze.
    2. Selecteer de actie Een IP-rapport ophalen (preview).
    3. Voeg het dynamische inhoudsitem IP-adres uit de uitvoer van Entiteiten - IP-adressen ophalen toe aan het veld IP-adres.

    Bijvoorbeeld:

    Schermopname van het verzenden van aanvraag naar virustotaal voor IP-adresrapport.

  4. In de Voor elke-lus selecteer je Een actie toevoegen en vervolgens:

    1. Voeg een voorwaarde toe vanuit de bibliotheek Besturingsacties .
    2. Voeg het item Laatste analysestatistieken Schadelijke dynamische inhoud toe uit de uitvoer van een IP-rapport ophalen . Mogelijk moet u Meer weergeven selecteren om deze te vinden.
    3. Selecteer de operator is groter dan en voer 0 in als de waarde.

    De voorwaarde Laatste analysestatistieken: Schadelijk is groter dan 0 controleert of het VirusTotal-IP-rapport schadelijke resultaten heeft opgeleverd. Bijvoorbeeld:

    De schermafbeelding toont hoe je een waar/onwaar-voorwaarde in een playbook instelt.

  5. Selecteer in de optie TrueEen actie toevoegen, en vervolgens:

    1. Selecteer de actie Taak toevoegen aan incident in de connector Microsoft Sentinel.
    2. Selecteer het item met dynamische inhoud Incident ARM ID voor het veld Incident ARM id.
    3. Voer Gebruiker markeren als gecompromitteerdin als titel.
    4. Voeg een optionele beschrijving toe.

    Bijvoorbeeld:

    Schermafbeelding met playbookacties om een taak toe te voegen om een gebruiker te markeren als gecompromitteerd.

  6. In de optie Onwaar, selecteer Een actie toevoegen en vervolgens:

    1. Selecteer de actie Taak toevoegen aan incident in de connector Microsoft Sentinel.
    2. Selecteer het item met dynamische inhoud Incident ARM ID voor het veld Incident ARM id.
    3. Voer Neem contact op met de gebruiker om de activiteit te bevestigen in als de Titel.
    4. Voeg een optionele beschrijving toe.

    Bijvoorbeeld:

    Schermafbeelding met playbook-acties om een taak toe te voegen waarmee de gebruiker de activiteit kan bevestigen.

Verwante onderwerpen

  • Last updated on