Zelfstudie: Ip-adresreputatiegegevens automatisch controleren en vastleggen in incidenten

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Een snelle en eenvoudige manier om de ernst van een incident te beoordelen, is om te zien of ip-adressen ervan bekend staan als bronnen van schadelijke activiteiten. Als u een manier hebt om dit automatisch te doen, kunt u veel tijd en moeite besparen.

In deze zelfstudie leert u hoe u Microsoft Sentinel automatiseringsregels en playbooks kunt gebruiken om IP-adressen in uw incidenten automatisch te controleren op een bedreigingsinformatiebron en elk resultaat vast te leggen in het relevante incident.

Wanneer u deze zelfstudie hebt voltooid, kunt u het volgende doen:

  • Een playbook maken van een sjabloon
  • De verbindingen van het playbook met andere resources configureren en autoriseren
  • Een automatiseringsregel maken om het playbook aan te roepen
  • Bekijk de resultaten van uw geautomatiseerde proces

Belangrijk

Na 31 maart 2027 worden Microsoft Sentinel niet meer ondersteund in de Azure Portal en zijn ze alleen beschikbaar in de Microsoft Defender portal. Alle klanten die Microsoft Sentinel in de Azure Portal gebruiken, worden omgeleid naar de Defender-portal en gebruiken alleen Microsoft Sentinel in de Defender-portal.

Als u nog steeds Microsoft Sentinel in de Azure Portal gebruikt, wordt u aangeraden uw overgang naar de Defender-portal te plannen om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden geboden.

Vereisten

Zorg ervoor dat u over het volgende beschikt om deze zelfstudie te voltooien:

  • Een Azure-abonnement. Maak een gratis account als u er nog geen hebt.

  • Een Log Analytics-werkruimte met de Microsoft Sentinel-oplossing die erop is geïmplementeerd en gegevens die erin worden opgenomen.

  • Een Azure gebruiker met de volgende rollen toegewezen aan de volgende resources:

  • VirusTotal Solution geïnstalleerd vanuit de Content Hub

  • Een (gratis) VirusTotal-account is voldoende voor deze zelfstudie. Voor een productie-implementatie is een VirusTotal Premium-account vereist.

  • Een Azure Monitor Agent geïnstalleerd op ten minste één computer in uw omgeving, zodat incidenten worden gegenereerd en verzonden naar Microsoft Sentinel.

Een playbook maken van een sjabloon

Microsoft Sentinel bevat kant-en-klare playbooksjablonen die u kunt aanpassen en gebruiken om een groot aantal basale SecOps-doelstellingen en -scenario's te automatiseren. Laten we er een zoeken om de informatie over IP-adressen in onze incidenten te verrijken.

  1. Selecteer configuratieautomatisering> inMicrosoft Sentinel.

  2. Selecteer op de pagina Automation het tabblad Playbook-sjablonen (preview).

  3. Zoek en selecteer een van de sjablonen voor 'IP Enrichment - Virus Total report', voor entiteits-, incident- of waarschuwingstriggers. Filter indien nodig de lijst op de verrijkingstag om uw sjablonen te vinden.

  4. Selecteer Playbook maken in het detailvenster. Bijvoorbeeld:

    Schermopname van de sjabloon IP-verrijking - Rapport virustotaal - Entiteitstrigger geselecteerd.

  5. De wizard Playbook maken wordt geopend. Op het tabblad Basisbeginselen :

    1. Selecteer uw abonnement, resourcegroep en regio in de respectieve vervolgkeuzelijsten.

    2. Bewerk de naam van het playbook door 'Get-VirusTotalIPReport' toe te voegen aan het einde van de voorgestelde naam. Op deze manier kunt u zien van welke oorspronkelijke sjabloon dit playbook afkomstig is, terwijl u er toch zeker van bent dat het een unieke naam heeft voor het geval u een ander playbook van deze sjabloon wilt maken. Laten we het 'Get-VirusTotalIPReport-Tutorial-1' noemen.

    3. Laat de optie Diagnostische logboeken in Log Analytics inschakelen uitgeschakeld.

    4. Selecteer Volgende : Verbindingen >.

  6. Op het tabblad Verbindingen ziet u alle verbindingen die dit playbook moet maken met andere services en de verificatiemethode die wordt gebruikt als de verbinding al is gemaakt in een bestaande logische app-werkstroom in dezelfde resourcegroep.

    1. Laat de Microsoft Sentinel-verbinding ongewijzigd (er moet "Verbinden met beheerde identiteit" staan).

    2. Als er verbindingen zijn met de tekst 'Nieuwe verbinding wordt geconfigureerd', wordt u gevraagd dit te doen in de volgende fase van de zelfstudie. Als u al verbindingen met deze resources hebt, selecteert u de uitvouwppijl links van de verbinding en kiest u een bestaande verbinding in de uitgevouwen lijst. Voor deze oefening laten we het zo.

      Schermafbeelding van het tabblad Verbindingen van de wizard voor het maken van playbooks.

    3. Selecteer Volgende : Controleren en maken >.

  7. Controleer op het tabblad Controleren en maken alle informatie die u hebt ingevoerd zoals deze hier wordt weergegeven en selecteer Playbook maken.

    Schermafbeelding van het tabblad Controleren en maken in de wizard voor het maken van playbooks.

    Wanneer het playbook wordt geïmplementeerd, ziet u een snelle reeks meldingen van de voortgang. Vervolgens wordt de Logic Apps-ontwerper geopend, waarbij uw playbook wordt weergegeven. We moeten nog steeds de verbindingen van de logische app autoriseren met de resources waarmee deze communiceert, zodat het playbook kan worden uitgevoerd. Vervolgens controleren we elk van de acties in het playbook om te controleren of ze geschikt zijn voor onze omgeving, en zo nodig wijzigingen aanbrengen.

    Schermafbeelding van het playbook geopend in het ontwerpvenster van Logic App.

Verbindingen met logische apps autoriseren

Toen we het playbook op basis van de sjabloon maakten, kregen we te horen dat de verbindingen Azure Log Analytics-gegevensverzamelaar en VirusTotaal later zouden worden geconfigureerd.

Schermafbeelding van de controle-informatie uit de wizard voor het maken van playbooks.

Hier doen we dat.

Verbinding met VirusTotal autoriseren

  1. Selecteer de actie Voor elk om deze uit te vouwen en de inhoud te bekijken, inclusief de acties die voor elk IP-adres worden uitgevoerd. Bijvoorbeeld:

    Schermafbeelding van de actie voor de for-each-lusinstructie in de Logic Apps-ontwerper.

  2. Het eerste actie-item dat u ziet, heeft het label Verbindingen en heeft een oranje waarschuwingsdriehoek.

    Als in plaats daarvan die eerste actie het label Ip-rapport ophalen (preview) heeft, betekent dit dat u al een bestaande verbinding hebt met VirusTotaal en dat u naar de volgende stap kunt gaan.

    1. Selecteer de actie Verbindingen om deze te openen.

    2. Selecteer het pictogram in de kolom Ongeldig voor de weergegeven verbinding.

      Schermopname van ongeldige configuratie van de virustotaalverbinding.

      U wordt gevraagd om verbindingsgegevens.

      Schermopname van het invoeren van de API-sleutel en andere verbindingsgegevens voor virustotaal.

    3. Voer 'Virustotaal' in als de naam van de verbinding.

    4. Voor x-api_key kopieert en plakt u de API-sleutel uit uw VirusTotaal-account.

    5. Selecteer Bijwerken.

    6. Nu wordt de actie IP-rapport ophalen (Preview) correct weergegeven. (Als u al een Virus Total-account hebt, bent u al in deze fase.)

      Schermopname van de actie om een IP-adres in te dienen bij Virus Total om er een rapport over te ontvangen.

Log Analytics-verbinding autoriseren

De volgende actie is een voorwaarde die de rest van de acties van de for-each-lus bepaalt op basis van het resultaat van het IP-adresrapport. Het analyseert de reputatiescore die is opgegeven aan het IP-adres in het rapport. Een score hoger dan 0 geeft aan dat het adres onschadelijk is; een score lager dan 0 geeft aan dat deze schadelijk is.

Schermopname van de actie Voorwaarde in de Logic Apps-ontwerpfunctie.

Of de voorwaarde waar of onwaar is, we willen de gegevens in het rapport verzenden naar een tabel in Log Analytics, zodat deze kunnen worden opgevraagd en geanalyseerd en een opmerking aan het incident kunnen worden toegevoegd.

Maar zoals u ziet, hebben we meer ongeldige verbindingen die we moeten autoriseren.

Schermopname van waar- en onwaarscenario's voor gedefinieerde voorwaarde.

  1. Kies de actie Verbindingen in het venster True.

  2. Selecteer het pictogram in de kolom Ongeldig voor de weergegeven verbinding.

    Schermopname van een ongeldige configuratie van de Log Analytics-verbinding.

    U wordt gevraagd om verbindingsgegevens.

    Schermopname van het invoeren van de werkruimte-id en -sleutel en andere verbindingsgegevens voor Log Analytics.

  3. Voer 'Log Analytics' in als de naam van de verbinding.

  4. Voor Werkruimte-id kopieert en plakt u de id van de pagina Overzicht van de instellingen van de Log Analytics-werkruimte.

  5. Selecteer Bijwerken.

  6. Nu ziet u de actie Gegevens verzenden correct. (Als u al een Log Analytics-verbinding hebt vanuit Logic Apps, bent u al in deze fase.)

    Schermopname van de actie voor het verzenden van een rapportrecord virustotaal naar een tabel in Log Analytics.

  7. Selecteer nu de actie Verbindingen in het frame False . Deze actie maakt gebruik van dezelfde verbinding als de verbinding in het frame True.

  8. Controleer of de verbinding met de naam Log Analytics is gemarkeerd en selecteer Annuleren. Dit zorgt ervoor dat de actie nu correct wordt weergegeven in het playbook.

    Schermopname van de tweede ongeldige Log Analytics-verbindingsconfiguratie.

    Nu ziet u uw volledige draaiboek, correct geconfigureerd.

  9. Heel belangrijk! Vergeet niet opslaan te selecteren bovenaan het venster Ontwerpfunctie voor logische apps . Nadat u meldingen hebt gezien dat uw playbook succesvol is opgeslagen, ziet u uw playbook op het tabblad Actieve playbooks* op de pagina Automation.

Een automatiseringsregel maken

Als u dit playbook daadwerkelijk wilt uitvoeren, moet u een automatiseringsregel maken die wordt uitgevoerd wanneer incidenten worden gemaakt en het playbook aanroepen.

  1. Selecteer op de pagina Automationde optie + Maken in de bovenste banner. Selecteer Automatiseringsregel in de vervolgkeuzelijst.

    Schermopname van het maken van een automatiseringsregel op de pagina Automation.

  2. Geef in het deelvenster Nieuwe automatiseringsregel maken de regel de naam 'Zelfstudie: IP-informatie verrijken'.

    Schermopname van het maken van een automatiseringsregel, het geven van een naam en het toevoegen van een voorwaarde.

  3. Selecteer onder Voorwaardende optie + Toevoegen en Voorwaarde (En).

    Schermopname van het toevoegen van een voorwaarde aan een automatiseringsregel.

  4. Selecteer IP-adres in de eigenschapsvervolgkeuzelijst aan de linkerkant. Selecteer Bevat in de vervolgkeuzelijst operator en laat het waardeveld leeg. Dit betekent effectief dat de regel van toepassing is op incidenten die een IP-adresveld hebben dat iets bevat.

    We willen niet voorkomen dat analyseregels worden gedekt door deze automatisering, maar we willen ook niet dat de automatisering onnodig wordt geactiveerd, dus we gaan de dekking beperken tot incidenten die IP-adresentiteiten bevatten.

    Schermopname van het definiëren van een voorwaarde die moet worden toegevoegd aan een automatiseringsregel.

  5. Onder Acties, selecteer in de vervolgkeuzelijst Playbook uitvoeren.

  6. Selecteer de nieuwe vervolgkeuzelijst die wordt weergegeven.

    Schermafbeelding waarop te zien is hoe u uw playbook uit de lijst met playbooks selecteert - deel 1.

    U ziet een lijst met alle draaiboeken binnen uw abonnement. De grijs weergegeven exemplaren zijn de items waar u geen toegang toe hebt. Begin in het tekstvak Playbooks zoeken met het typen van de naam - of een deel daarvan - van het playbook dat we hierboven hebben gemaakt. De lijst met draaiboeken wordt bij elke letter die u typt dynamisch gefilterd.

    Schermopname die laat zien hoe u uw playbook selecteert in de lijst met playbooks - deel 2.

    Wanneer u uw playbook in de lijst ziet, selecteert u het.

    Schermafbeelding waarop te zien is hoe u uw playbook selecteert uit de lijst met playbooks - deel 3.

    Als het playbook grijs wordt weergegeven, selecteert u de koppeling Playbook-machtigingen beheren (in de kleine alinea hieronder, waar u een playbook hebt geselecteerd, zie de bovenstaande schermopname). Selecteer in het deelvenster dat wordt geopend de resourcegroep met het playbook in de lijst met beschikbare resourcegroepen en selecteer vervolgens Toepassen.

  7. Selecteer nogmaals + Actie toevoegen . Selecteer nu in de nieuwe actie-vervolgkeuzelijst die wordt weergegeven de optie Tags toevoegen.

  8. Selecteer + Tag toevoegen. Voer 'Zelfstudie-verrijkte IP-adressen' in als de tagtekst en selecteer OK.

    Schermopname van het toevoegen van een tag aan een automatiseringsregel.

  9. Laat de overige instellingen staan en selecteer Toepassen.

Geslaagde automatisering controleren

  1. Voer op de pagina Incidenten de tagtekst Zelfstudie-verrijkte IP-adressen in de zoekbalk in en druk op enter om de lijst te filteren op incidenten waarop die tag is toegepast. Dit zijn de incidenten waarop onze automatiseringsregel is uitgevoerd.

  2. Open een of meer van deze incidenten en kijk of er opmerkingen zijn over de IP-adressen. De aanwezigheid van deze opmerkingen geeft aan dat het playbook op het incident is uitgevoerd.

Resources opschonen

Als u dit automatiseringsscenario niet blijft gebruiken, verwijdert u het playbook en de automatiseringsregel die u hebt gemaakt met de volgende stappen:

  1. Selecteer op de pagina Automation het tabblad Actieve playbooks.

  2. Voer de naam (of een deel van de naam) in van het playbook dat u hebt gemaakt in de zoekbalk .
    (Als deze niet wordt weergegeven, controleert u of alle filters zijn ingesteld op Alles selecteren.)

  3. Selecteer het selectievakje naast uw draaiboek in de lijst en selecteer Verwijderen op de bovenste balk.
    (Als u deze niet wilt verwijderen, kunt u in plaats daarvan Uitschakelen selecteren.)

  4. Selecteer het tabblad Automatiseringsregels .

  5. Voer de naam (of een deel van de naam) in van de automatiseringsregel die u hebt gemaakt in de zoekbalk .
    (Als deze niet wordt weergegeven, controleert u of alle filters zijn ingesteld op Alles selecteren.)

  6. Schakel het selectievakje naast uw automatiseringsregel in de lijst in en selecteer Verwijderen in de bovenste banner.
    (Als u deze niet wilt verwijderen, kunt u in plaats daarvan Uitschakelen selecteren.)

Verwante onderwerpen

Nu u hebt geleerd hoe u een eenvoudig scenario voor incidentverrijking kunt automatiseren, vindt u meer informatie over automatisering en andere scenario's waarin u deze kunt gebruiken.

  • Last updated on