Microsoft Sentinel playbooks maken en aanpassen vanuit sjablonen

Een playbook-sjabloon is een vooraf samengestelde, geteste en gebruiksklare automatiseringswerkstroom voor Microsoft Sentinel die kan worden aangepast aan uw behoeften. Sjablonen kunnen ook dienen als referentie voor aanbevolen procedures bij het ontwikkelen van volledig nieuwe playbooks of als inspiratie voor nieuwe automatiseringsscenario's.

Playbook-sjablonen zijn zelf geen actieve playbooks en u moet een bewerkbare kopie maken voor uw behoeften.

Veel playbook-sjablonen zijn ontwikkeld door de Microsoft Sentinel community, onafhankelijke softwareleveranciers (ISV's) en de eigen experts van Microsoft, op basis van populaire automatiseringsscenario's die worden gebruikt door beveiligingscentra over de hele wereld.

Vereisten

Als u playbooks wilt maken en beheren, hebt u toegang nodig tot Microsoft Sentinel met een van de volgende Azure rollen:

• Inzender voor logische apps voor het bewerken en beheren van logische apps
• Operator voor Logic Apps, om Logic Apps te lezen, in te schakelen en uit te schakelen

Zie vereisten voor Microsoft Sentinel playbook voor meer informatie.

We raden u aan Azure Logic Apps for Microsoft Sentinel playbooks te lezen voordat u uw playbook maakt.

Playbooksjablonen openen

Krijg toegang tot playbook-sjablonen uit de volgende bronnen:

Technisch gezien is een playbooksjabloon een ARM-sjabloon (Azure Resource Manager), die bestaat uit verschillende resources: een Azure Logic Apps-werkstroom en API-verbindingen voor elke betrokken verbinding.

De volgende procedure richt zich op het deployen van een playbook-sjabloon vanuit het Playbook-sjabloontabblad onder Automatisering.

Playbook-sjablonen verkennen

Selecteer voor Microsoft Sentinel in de Azure Portal de pagina Inhoudsbeheer>Inhoudshub. Voor Microsoft Sentinel in de Defender-portal selecteert u Microsoft Sentinel>Hub Inhoudsbeheer>.

Selecteer op de pagina Inhoudshubde optie Inhoudstype om te filteren op Playbook. De pagina met de gefilterde Content hub geeft alle oplossingen en losse content weer die één of meer playbook-templates bevatten. Installeer de oplossing of zelfstandige inhoud om de sjabloon op te halen.

Als u de geïnstalleerde sjablonen wilt bekijken, selecteert u het tabblad Configuratie>Automatisering>Playbooksjablonen. Bijvoorbeeld:

Als u een playbooksjabloon wilt vinden die aan uw vereisten voldoet, filtert u de lijst op de volgende criteria:

Bijvoorbeeld:

Een playbook aanpassen vanuit een sjabloon

De volgende stappen beschrijven hoe je playbook-templates kunt inzetten en kunnen worden herhaald om meerdere playbooks van hetzelfde template te maken.

Hoewel de meeste playbooksjablonen kunnen worden gebruikt zoals ze zijn, raden we u aan ze zo nodig aan te passen om uw playbook af te stemmen op de behoeften van uw SOC.

1. Selecteer op het tabblad Playbook-sjablonen een playbook om mee te beginnen.

2. Als het playbook vereisten heeft, zorg er dan voor dat u de instructies volgt. Bijvoorbeeld:

   • Sommige playbooks noemen andere playbooks als acties. Het zogenaamde playbook wordt een geneste playbook genoemd. In een dergelijk geval is een van de vereisten om eerst het geneste playbook te implementeren.

   • Voor sommige playbooks moet een aangepaste Logic Apps-connector of een Azure-functie worden geïmplementeerd. In dergelijke gevallen is er een koppeling Implementeren naar Azure waarmee u naar het algemene implementatieproces van de ARM-sjabloon gaat.

3. Selecteer Playbook maken om de wizard voor het maken van een playbook te openen op basis van de geselecteerde sjabloon. De wizard heeft vier tabbladen:

   • Basics: Zoek uw nieuwe playbook, een Logic Apps-resource, en geef het een naam. U kunt de standaardinstelling gebruiken. Bijvoorbeeld:

     

   • Parameters: Voer klantspecifieke waarden in die door het playbook worden gebruikt. Als het playbook bijvoorbeeld een e-mail naar de SOC verzendt, definieert u het adres van de geadresseerde. Als het playbook een aangepaste connector in gebruik heeft, moet deze worden geïmplementeerd in dezelfde resourcegroep en wordt u gevraagd de naam in te voeren op het tabblad Parameters .

     Het tabblad Parameters wordt alleen weergegeven als het playbook parameters bevat. Bijvoorbeeld:

     

   • Verbindingen: Vouw elke actie uit om de bestaande verbindingen te zien die u hebt gemaakt voor eerdere playbooks. U kunt ervoor kiezen om bestaande verbindingen te gebruiken of een nieuwe te maken. Bijvoorbeeld:

     

     • Als u een nieuwe verbinding wilt maken, selecteert u Nieuwe verbinding maken na implementatie. De optie ' Maak een nieuwe verbinding na implementatie aanmaken' brengt je naar de Logic Apps-ontwerper nadat het implementatieproces is afgerond.

     • Aangepaste connectors worden weergegeven door de naam van de aangepaste connector die is ingevoerd op het tabblad Parameters .

     • Voor connectors die ondersteuning bieden voor verbinding met een beheerde identiteit, zoals Microsoft Sentinel, is beheerde identiteit de standaardverbindingsmethode.

     Zie Playbooks verifiëren bij Microsoft Sentinel voor meer informatie.

   • Controleren en maken: Bekijk een samenvatting van het proces en wacht op validatie van uw invoer voordat u het playbook maakt.

4. Nadat u de stappen in de wizard voor het maken van een playbook tot het einde hebt doorlopen, wordt u naar het werkstroomontwerp van het nieuwe playbook in de Logic Apps-ontwerper geleid. Bijvoorbeeld:

   

5. Maak voor elke connector waarvoor u Na implementatie een nieuwe verbinding maken hebt geselecteerd, de verbinding:

   1. Selecteer in het navigatiemenu API-verbindingen en selecteer vervolgens de naam van de verbinding. Bijvoorbeeld:

      

   2. Selecteer API-verbinding bewerken in het navigatiemenu.

   3. Vul de vereiste parameters in en selecteer Opslaan. Bijvoorbeeld:

      

   U kunt ook een nieuwe verbinding maken vanuit de relevante stappen in de logic apps-ontwerpfunctie:

   1. Voor elke stap die wordt weergegeven met een foutteken, selecteert u deze om uit te vouwen en selecteert u vervolgens Nieuwe toevoegen.

   2. Verifieer volgens de relevante instructies. Zie Playbooks verifiëren bij Microsoft Sentinel voor meer informatie.

   3. Als er andere stappen zijn die dezelfde connector gebruiken, vouwt u de vakken uit. Selecteer in de lijst met verbindingen die wordt weergegeven de verbinding die u zojuist hebt gemaakt.

6. Als u ervoor hebt gekozen om een beheerde identiteitsverbinding te gebruiken voor Microsoft Sentinel of voor andere ondersteunde verbindingen, moet u machtigingen verlenen voor het nieuwe playbook op de Microsoft Sentinel werkruimte of voor de relevante doelresources voor andere connectors.

7. Sla het draaiboek op. Het draaiboek verschijnt op het tabblad Actieve draaiboeken.

Als u uw playbook wilt uitvoeren, stelt u een geautomatiseerd antwoord in of voert u het handmatig uit. Zie Reageren op bedreigingen met Microsoft Sentinel playbooks voor meer informatie.

Een probleem in een sjabloon voor een playbook melden

Als u een bug wilt melden of een verbetering voor een playbook wilt aanvragen, selecteert u de koppeling Ondersteund door in het detailvenster van het playbook. Als het playbook door de community wordt ondersteund, brengt de link u naar een open GitHub-issue. Anders wordt u omgeleid naar de pagina van de ondersteuningsmedewerker, met informatie over het verzenden van uw feedback.

Verwante onderwerpen

• Reactie op bedreigingen automatiseren met Microsoft Sentinel playbooks
• Aanbevolen sjablonen voor playbooks
• Microsoft Sentinel playbooks automatiseren en uitvoeren