Automatiseer remediatie-antwoorden in Microsoft Defender voor Cloud

Elk beveiligingsprogramma bevat meerdere werkstromen voor reacties op incidenten. Deze processen kunnen bestaan uit het melden van relevante belanghebbenden, het starten van een wijzigingsbeheerproces en het toepassen van specifieke herstelstappen.

Beveiligingsexperts raden u aan om zoveel mogelijk stappen van beveiligingsprocedures te automatiseren. Automatisering vermindert overhead. Het kan ook uw beveiliging verbeteren door ervoor te zorgen dat processtappen snel, consistent en volgens uw vooraf gedefinieerde vereisten worden uitgevoerd.

In dit artikel wordt de functie voor werkstroomautomatisering van Microsoft Defender voor Cloud beschreven. De workflowautomatiseringsfunctie kan consumptielogica-apps activeren bij beveiligingswaarschuwingen, aanbevelingen en wijzigingen in regelgevingsnaleving. U wilt bijvoorbeeld Defender voor Cloud een specifieke gebruiker een e-mail sturen wanneer er een waarschuwing optreedt. U leert ook hoe u logische apps maakt met behulp van Azure Logic Apps.

Prerequisites

Voordat u begint:

• U moet de rol Beveiligingsbeheerder of Eigenaar hebben voor de resourcegroep.

• U moet schrijfmachtigingen hebben voor de doelresource.

• Als u wilt werken met Azure Logic Apps-werkstromen, moet u de volgende Logic Apps-rollen of -machtigingen hebben:

  • Logische app-operatormachtigingen zijn vereist of lees- of triggertoegang voor logische apps. Gebruikers met deze rol kunnen geen logische apps maken of bewerken. Ze kunnen alleen bestaande programma's uitvoeren.
  • Inzendermachtigingen voor logische apps zijn vereist voor het maken en wijzigen van logische apps.

• Als u Logic Apps-connectors wilt gebruiken, hebt u mogelijk andere referenties nodig om u aan te melden bij hun respectieve services (bijvoorbeeld uw Outlook-, Teams- of Slack-instanties).

Een logische app maken en definiëren wanneer deze automatisch moet worden uitgevoerd

Volg deze stappen:

1. Selecteer werkstroomautomatisering op de zijbalk van Defender voor Cloud.

   

2. Op deze pagina kunt u nieuwe automatiseringsregels maken of bestaande regels inschakelen, uitschakelen of verwijderen. Een scope verwijst naar het abonnement waarin de werkstroomautomatisering wordt uitgevoerd.

3. Als u een nieuwe werkstroom wilt definiëren, selecteert u Werkstroomautomatisering toevoegen. Het deelvenster Opties voor uw nieuwe automatisering wordt geopend.

   

4. Voer het volgende in:

   • Een naam en beschrijving voor de automatisering.
   • De triggers die deze automatische werkstroom initiëren. U wilt bijvoorbeeld dat uw logische app wordt uitgevoerd wanneer er een beveiligingswaarschuwing wordt gegenereerd die de woordgroep SQL bevat.

5. Specificeer de consumptielogische app die wordt uitgevoerd wanneer aan de triggervoorwaarden wordt voldaan.

6. Ga in de sectie Actiesnaar de pagina Logic Apps om het proces te starten om een logische app te maken.

   

   Door te selecteren op bezoek de pagina Logic Apps opent Azure Logic Apps.

7. Selecteer (+) Toevoegen.

8. Vul alle vereiste velden in en klik daarna op Beoordelen + Maken.

   

   Het bericht Implementatie wordt uitgevoerd . Wacht tot de implementatie is voltooid en selecteer vervolgens Ga naar resource.

9. Controleer de gegevens die u hebt ingevoerd en selecteer daarna Maken.

   In uw nieuwe logische app kunt u kiezen uit ingebouwde, vooraf gedefinieerde sjablonen uit de beveiligingscategorie. Of je kunt een aangepaste stroom van gebeurtenissen definiëren die optreden wanneer de workflowautomatisering draait.

   Tip

   Soms worden parameters opgenomen in een Logic App in de connector als onderdeel van een tekenreeks en niet in een eigen veld. Zie stap 14 van Het werken met parameters voor logische apps tijdens het bouwen van Automatisering van werkstromen in Microsoft Defender voor Cloud voor een voorbeeld van het extraheren van parameters.

Ondersteunde triggers

De ontwerper van logische apps ondersteunt de volgende Defender voor Cloud-triggers:

• Wanneer een Aanbeveling voor Microsoft Defender voor Cloud wordt gemaakt of geactiveerd: als uw logische app afhankelijk is van een aanbeveling die wordt afgeschaft of vervangen, werkt uw automatisering niet meer en moet u de trigger bijwerken. Gebruik de releaseopmerkingen om wijzigingen in aanbevelingen bij te houden.

• Wanneer een Defender voor Cloud-waarschuwing wordt gemaakt of geactiveerd: u kunt de trigger aanpassen zodat deze alleen betrekking heeft op waarschuwingen met de ernstniveaus die u interesseren.

• Wanneer een Defender voor Cloud-evaluatie voor naleving van regelgeving wordt gemaakt of geactiveerd: u wilt automatiseringen activeren op basis van updates voor nalevingsevaluaties voor regelgeving.

1. Nadat u uw logische app hebt gedefinieerd, gaat u terug naar het deelvenster Werkstroomautomatisering toevoegen .

2. Selecteer Vernieuwen om ervoor te zorgen dat uw nieuwe logische app beschikbaar is voor selectie.

3. Selecteer uw logische app en sla de automatisering op. In het vervolgkeuzemenu worden alleen Logic Apps weergegeven die over Defender voor Cloud-connectors beschikken.

Een logische app handmatig activeren

U kunt logische apps ook handmatig uitvoeren wanneer u een beveiligingswaarschuwing of aanbeveling bekijkt.

Als u een logische app handmatig wilt uitvoeren, opent u een waarschuwing of aanbeveling en selecteert u Logische app activeren.

Werkstroomautomatisering op schaal configureren

Wanneer u de processen voor bewaking en reactie op incidenten van uw organisatie automatiseert, kan de tijd die nodig is om beveiligingsincidenten te onderzoeken en te beperken aanzienlijk verbeteren.

Om uw automatiseringsconfiguraties binnen uw organisatie te implementeren, gebruikt u de meegeleverde Azure Policy-beleidslijnen DeployIfNotExist zoals beschreven in de volgende tabel. Het DeployIfNotExist beleidseffect zet automatisch benodigde middelen uit wanneer deze nog niet bestaan, waardoor je workflow-automatiseringsprocedures op grote schaal kunt creëren en configureren.

Aan de slag met werkstroomautomatiseringssjablonen.

Ga als volgt te werk om dit beleid te implementeren:

1. Selecteer in de volgende tabel het beleid dat u wilt toepassen:

   Doel	Policy	Beleids-id
   Werkstroomautomatisering voor beveiligingswaarschuwingen	Werkstroomautomatisering implementeren voor waarschuwingen van Microsoft Defender voor Cloud	f1525828-9a90-4fcf-be48-268cdd02361e
   Werkstroomautomatisering voor beveiligingsaanbevelingen	Werkstroomautomatisering implementeren voor Microsoft Defender voor Cloud-aanbevelingen	73d6ab6c-2475-4850-afd6-43795f3492ef
   Werkstroomautomatisering voor wijzigingen in naleving van regelgeving	Workflowautomatisering implementeren voor naleving van regelgeving in Microsoft Defender voor Cloud	509122b9-ddd9-47ba-a5f1-d0dac20be63c

   U kunt ook beleidsregels vinden door te zoeken in Azure Policy. Selecteer in Azure Policy Definities en zoek vervolgens naar de beleidsregels op naam.

2. Selecteer Toewijzen op de relevante Azure Policy-pagina.

   

3. Stel op het tabblad Basisbeginselen het bereik voor het beleid in. Als u gecentraliseerd beheer wilt gebruiken, wijst u het beleid toe aan de beheergroep die de abonnementen bevat die gebruikmaken van de configuratie van werkstroomautomatisering.

4. Voer op het tabblad Parameters de vereiste gegevens in.

   

5. (Optioneel) Pas deze toewijzing toe op een bestaand abonnement op het tabblad Herstel en selecteer vervolgens de optie om een hersteltaak te maken.

6. Controleer de overzichtspagina en selecteer vervolgens Aanmaken.

Datatypeschema's voor workflowautomatisering

Als u de onbewerkte gebeurtenisschema's van de beveiligingswaarschuwingen of aanbevelingen wilt bekijken die worden doorgegeven aan de logische app, gaat u naar de schema's voor gegevenstypen voor werkstroomautomatisering. Het bekijken van de ruwe gebeurtenisschema's kan handig zijn wanneer je niet de ingebouwde Defender voor Cloud Logic Apps connectors gebruikt maar in plaats daarvan de generieke HTTP-connector. U kunt het JSON-schema van de gebeurtenis gebruiken om het handmatig te parseren naar wens.

Verwante onderwerpen

• Werkstroomautomatisering gebruiken om een beveiligingsreactie te automatiseren
• Aanbevelingen voor beveiliging in Microsoft Defender voor Cloud
• Beveiligingswaarschuwingen in Microsoft Defender voor Cloud