Automatiseer remediatie-antwoorden in Microsoft Defender voor Cloud

Elk beveiligingsprogramma bevat meerdere werkstromen voor reacties op incidenten. Deze processen kunnen bestaan uit het melden van relevante belanghebbenden, het starten van een wijzigingsbeheerproces en het toepassen van specifieke herstelstappen.

Beveiligingsexperts raden u aan om zoveel mogelijk stappen van beveiligingsprocedures te automatiseren. Automatisering vermindert overhead. Het kan ook uw beveiliging verbeteren door ervoor te zorgen dat processtappen snel, consistent en volgens uw vooraf gedefinieerde vereisten worden uitgevoerd.

In dit artikel wordt de functie voor werkstroomautomatisering van Microsoft Defender voor Cloud beschreven. De functie voor werkstroomautomatisering kan logic apps op basis van verbruik activeren op basis van beveiligingswaarschuwingen, aanbevelingen en wijzigingen in de naleving van regelgeving. U wilt bijvoorbeeld Defender voor Cloud een specifieke gebruiker een e-mail sturen wanneer er een waarschuwing optreedt. Je leert ook hoe je logische apps maakt door gebruik te maken van Azure Logic Apps.

Prerequisites

• U moet de rol Beveiligingsbeheerder of Eigenaar hebben voor de resourcegroep.

• U moet schrijfmachtigingen hebben voor de doelresource.

• Als u wilt werken met Azure Logic Apps-werkstromen, moet u de volgende Logic Apps-rollen of -machtigingen hebben:

  • Logische app-operatormachtigingen zijn vereist of lees- of triggertoegang voor logische apps. Gebruikers met deze rol kunnen geen logische apps maken of bewerken. Ze kunnen alleen bestaande programma's uitvoeren.
  • Inzendermachtigingen voor logische apps zijn vereist voor het maken en wijzigen van logische apps.

• Als je Logic Apps-connectors wilt gebruiken, heb je misschien andere inloggegevens nodig om in te loggen op hun respectievelijke diensten, bijvoorbeeld je Outlook-, Teams- of Slack-instanties.

Een logische app maken en definiëren wanneer deze automatisch moet worden uitgevoerd

Volg deze stappen:

1. Selecteer werkstroomautomatisering op de zijbalk van Defender voor Cloud.

   

   Op deze pagina kunt u nieuwe automatiseringsregels maken of bestaande regels inschakelen, uitschakelen of verwijderen. Een scope verwijst naar het abonnement waarbij de workflowautomatisering wordt geïmplementeerd.

2. Als u een nieuwe werkstroom wilt definiëren, selecteert u Werkstroomautomatisering toevoegen. Het deelvenster Opties voor uw nieuwe automatisering wordt geopend.

   

3. Voer het volgende in:

   • Een naam en beschrijving voor de automatisering.
   • De triggers die deze automatische werkstroom initiëren. U wilt bijvoorbeeld dat uw logische app wordt uitgevoerd wanneer er een beveiligingswaarschuwing wordt gegenereerd die de woordgroep SQL bevat.

4. Specificeer de consumptielogica-app die draait wanneer aan je triggervoorwaarden is voldaan.

5. Ga in de sectie Actiesnaar de pagina Logic Apps om het proces te starten om een logische app te maken.

   

   Als u de pagina Logic Apps bezoeken selecteert, wordt Azure Logic Apps geopend.

6. Selecteer (+) Toevoegen.

7. Vul alle vereiste velden in en klik daarna op Beoordelen + Maken.

   

   Het bericht Implementatie wordt uitgevoerd . Wacht tot de implementatie is voltooid en selecteer vervolgens Ga naar resource.

8. Controleer de gegevens die u hebt ingevoerd en selecteer daarna Maken.

   In uw nieuwe logische app kunt u kiezen uit ingebouwde, vooraf gedefinieerde sjablonen uit de beveiligingscategorie. Of je kunt een aangepaste stroom van gebeurtenissen definiëren die optreden wanneer de workflowautomatisering draait.

   Tip

   Soms worden parameters opgenomen in een Logic App in de connector als onderdeel van een tekenreeks en niet in een eigen veld. Zie stap 14 van Het werken met parameters voor logische apps tijdens het bouwen van Automatisering van werkstromen in Microsoft Defender voor Cloud voor een voorbeeld van het extraheren van parameters.

Ondersteunde triggers

De ontwerper van logische apps ondersteunt de volgende Defender voor Cloud-triggers:

• Wanneer een Aanbeveling voor Microsoft Defender voor Cloud wordt gemaakt of geactiveerd: als uw logische app afhankelijk is van een aanbeveling die wordt afgeschaft of vervangen, werkt uw automatisering niet meer en moet u de trigger bijwerken. Om wijzigingen in aanbevelingen bij te houden, zie de release notes.

• Wanneer een Defender voor Cloud-waarschuwing wordt gemaakt of geactiveerd: u kunt de trigger aanpassen zodat deze alleen betrekking heeft op waarschuwingen met de ernstniveaus die u interesseren.

• Wanneer een Defender voor Cloud-evaluatie voor naleving van regelgeving wordt gemaakt of geactiveerd: u wilt automatiseringen activeren op basis van updates voor nalevingsevaluaties voor regelgeving.

1. Nadat u uw logische app hebt gedefinieerd, gaat u terug naar het deelvenster Werkstroomautomatisering toevoegen .

2. Selecteer Vernieuwen om ervoor te zorgen dat uw nieuwe logische app beschikbaar is voor selectie.

3. Selecteer uw logische app en sla de automatisering op. In het vervolgkeuzemenu worden alleen Logic Apps weergegeven die over Defender voor Cloud-connectors beschikken.

Een logische app handmatig activeren

U kunt logische apps ook handmatig uitvoeren wanneer u een beveiligingswaarschuwing of aanbeveling bekijkt.

Als u een logische app handmatig wilt uitvoeren, opent u een waarschuwing of aanbeveling en selecteert u Logische app activeren.

Werkstroomautomatisering op schaal configureren

Wanneer u de processen voor bewaking en reactie op incidenten van uw organisatie automatiseert, kan de tijd die nodig is om beveiligingsincidenten te onderzoeken en te beperken aanzienlijk verbeteren.

Om uw automatiseringsconfiguraties binnen uw organisatie te implementeren, gebruikt u de meegeleverde Azure Policy-beleidslijnen DeployIfNotExist zoals beschreven in de volgende tabel. Het DeployIfNotExist beleidseffect zet automatisch benodigde middelen uit wanneer deze nog niet bestaan, waardoor je workflow-automatiseringsprocedures op grote schaal kunt creëren en configureren.

Aan de slag met werkstroomautomatiseringssjablonen.

Ga als volgt te werk om dit beleid te implementeren:

1. Selecteer in de volgende tabel het beleid dat u wilt toepassen:

   Doel	Policy	Beleids-id
   Werkstroomautomatisering voor beveiligingswaarschuwingen	Werkstroomautomatisering implementeren voor waarschuwingen van Microsoft Defender voor Cloud	f1525828-9a90-4fcf-be48-268cdd02361e
   Werkstroomautomatisering voor beveiligingsaanbevelingen	Werkstroomautomatisering implementeren voor Microsoft Defender voor Cloud-aanbevelingen	73d6ab6c-2475-4850-afd6-43795f3492ef
   Werkstroomautomatisering voor wijzigingen in naleving van regelgeving	Workflowautomatisering implementeren voor naleving van regelgeving in Microsoft Defender voor Cloud	509122b9-ddd9-47ba-a5f1-d0dac20be63c

   U kunt ook beleidsregels vinden door te zoeken in Azure Policy. Selecteer in Azure Policy Definities en zoek vervolgens naar de beleidsregels op naam.

2. Selecteer Toewijzen op de relevante Azure Policy-pagina.

   

3. Stel op het tabblad Basisbeginselen het bereik voor het beleid in. Als u gecentraliseerd beheer wilt gebruiken, wijst u het beleid toe aan de beheergroep die de abonnementen bevat die gebruikmaken van de configuratie van werkstroomautomatisering.

4. Voer op het tabblad Parameters de vereiste gegevens in.

   

5. (Optioneel) Pas deze toewijzing toe op een bestaand abonnement op het tabblad Herstel en selecteer vervolgens de optie om een hersteltaak te maken.

6. Controleer de overzichtspagina en selecteer vervolgens Aanmaken.

Datatypeschema's voor workflowautomatisering

Als u de onbewerkte gebeurtenisschema's van de beveiligingswaarschuwingen of aanbevelingen wilt bekijken die worden doorgegeven aan de logische app, gaat u naar de schema's voor gegevenstypen voor werkstroomautomatisering. Het bekijken van de ruwe gebeurtenisschema's kan handig zijn wanneer je niet de ingebouwde Defender voor Cloud Logic Apps connectors gebruikt maar in plaats daarvan de generieke HTTP-connector. U kunt het JSON-schema van de gebeurtenis gebruiken om het handmatig te parseren naar wens.

Verwante onderwerpen

• Werkstroomautomatisering gebruiken om een beveiligingsreactie te automatiseren
• Aanbevelingen voor beveiliging in Microsoft Defender voor Cloud
• Beveiligingswaarschuwingen in Microsoft Defender voor Cloud