Samouczek: automatyczne sprawdzanie i rejestrowanie informacji o reputacji adresów IP w incydentach

Jednym z szybkich i łatwych sposobów oceny ważności zdarzenia jest sprawdzenie, czy jakiekolwiek adresy IP w nim są znane jako źródła złośliwych działań. Możliwość automatycznego wykonania tej czynności pozwala zaoszczędzić dużo czasu i wysiłku.

W tym samouczku dowiesz się, jak używać reguł automatyzacji Microsoft Sentinel i podręczników do automatycznego sprawdzania adresów IP w zdarzeniach pod kątem źródła analizy zagrożeń i rejestrowania każdego wyniku w odpowiednim zdarzeniu.

Po ukończeniu tego samouczka będzie można wykonywać następujące czynności:

Wymagania wstępne

Aby ukończyć ten samouczek, upewnij się, że masz następujące elementy:

• Subskrypcja Azure. Utwórz bezpłatne konto , jeśli jeszcze go nie masz.

• Obszar roboczy usługi Log Analytics z wdrożonym rozwiązaniem Microsoft Sentinel i pozyskanymi do niego danymi.

• Użytkownik Azure z następującymi rolami przypisanymi do następujących zasobów:

  • Współautor Microsoft Sentinel w obszarze roboczym usługi Log Analytics, w którym wdrożono Microsoft Sentinel.
  • Współautor usługi Logic Apps oraz Właściciel lub równoważna rola w grupie zasobów, w której będzie znajdować się playbook utworzony w tym samouczku.

• Zainstalowane rozwiązanie VirusTotal z centrum zawartości

• Na potrzeby tego samouczka wystarczy (bezpłatne) konto VirusTotal . Implementacja produkcyjna wymaga konta VirusTotal Premium.

• Agent monitora Azure zainstalowany na co najmniej jednej maszynie w środowisku, dzięki czemu zdarzenia są generowane i wysyłane do Microsoft Sentinel.

Tworzenie podręcznika na podstawie szablonu

Microsoft Sentinel zawiera gotowe szablony playbooków, które można dostosować i wykorzystać do automatyzacji wielu podstawowych celów i scenariuszy SecOps. Znajdźmy jeden, aby wzbogacić informacje o adresie IP w naszych zdarzeniach.

1. W Microsoft Sentinel wybierz pozycję Konfiguracja>Automatyzacja.

2. Na stronie Automatyzacja wybierz kartę Szablony podręczników (wersja zapoznawcza ).

3. Znajdź i wybierz jeden z szablonów Wzbogacanie adresów IP — raport Virus Total dla wyzwalaczy encji, incydentów lub alertów. W razie potrzeby przefiltruj listę według tagu Wzbogacanie , aby znaleźć szablony.

4. Wybierz pozycję Utwórz podręcznik w okienku szczegółów. Przykład:

   

5. Zostanie otwarty kreator tworzenia podręcznika . Na karcie „Podstawy”:

   1. Wybierz subskrypcję, grupę zasobów i region z odpowiednich list rozwijanych.

   2. Edytuj nazwę Playbooka, dodając na końcu proponowanej nazwy „Get-VirusTotalIPReport”. W ten sposób będzie można stwierdzić, z którego oryginalnego szablonu pochodzi ten podręcznik, przy jednoczesnym zapewnieniu, że ma unikatową nazwę na wypadek, gdy chcesz utworzyć kolejny podręcznik na podstawie tego samego szablonu. Nazwijmy to "Get-VirusTotalIPReport-Tutorial-1".

   3. Pozostaw niezaznaczone opcję Włącz dzienniki diagnostyczne w usłudze Log Analytics .

   4. Wybierz pozycję Dalej: Połączenia >.

6. Na karcie Połączenia zobaczysz wszystkie połączenia, które ten playbook musi nawiązać z innymi usługami, oraz metodę uwierzytelniania, która zostanie użyta, jeśli to połączenie zostało już skonfigurowane w istniejącym przepływie pracy aplikacji logiki w tej samej grupie zasobów.

   1. Pozostaw połączenie Microsoft Sentinel tak, jak jest (powinno to oznaczać "Połącz za pomocą tożsamości zarządzanej").

   2. Jeśli przy jakimkolwiek połączeniu widnieje komunikat „Nowe połączenie zostanie skonfigurowane”, pojawi się monit o wykonanie tej czynności na następnym etapie samouczka. Lub, jeśli masz już połączenie z tymi zasobami, wybierz strzałkę rozwijania po lewej stronie połączenia i wybierz istniejące połączenie z rozwiniętej listy. W tym ćwiczeniu pozostawimy go tak, jak jest.

      

   3. Wybierz pozycję Dalej : Przejrzyj i utwórz >.

7. Na karcie Przeglądanie i tworzenie przejrzyj wszystkie wprowadzone informacje, które są wyświetlane tutaj, a następnie wybierz pozycję Utwórz podręcznik.

   

   Po wdrożeniu podręcznika zobaczysz szybką serię powiadomień o jego postępie. Następnie zostanie otwarty projektant usługi Logic Apps z wyświetlonym playbookiem. Nadal musimy autoryzować połączenia aplikacji logiki z zasobami, z których korzysta, aby można było uruchomić podręcznik. Następnie przejrzymy każdą akcję w podręczniku, aby upewnić się, że są one odpowiednie dla naszego środowiska, w razie potrzeby wprowadzając zmiany.

   

Autoryzowanie połączeń aplikacji logiki

Przypomnijmy sobie, że gdy tworzyliśmy playbook na podstawie szablonu, poinformowano nas, że połączenia z modułem zbierającym dane usługi Azure Log Analytics oraz z usługą VirusTotal zostaną skonfigurowane później.

Oto, gdzie to robimy.

Autoryzuj połączenie z VirusTotal

1. Wybierz akcję For each, aby ją rozwinąć i przejrzeć jej zawartość, w tym akcje, które zostaną wykonane dla poszczególnych adresów IP. Przykład:

   

2. Pierwszy widoczny element akcji ma etykietę Połączenia i ma pomarańczowy trójkąt ostrzegawczy.

   Jeśli zamiast tego ta pierwsza akcja jest oznaczona jako Pobierz raport IP (wersja zapoznawcza), oznacza to, że masz już istniejące połączenie z usługą VirusTotal i możesz przejść do następnego kroku.

   1. Wybierz akcję Połączenia , aby ją otworzyć.

   2. Wybierz ikonę w kolumnie Nieprawidłowe dla wyświetlonego połączenia.

      

      Zostanie wyświetlony monit o podanie informacji o połączeniu.

      

   3. Wprowadź wartość "Suma wirusów" jako nazwę połączenia.

   4. W przypadku api_key x skopiuj i wklej klucz interfejsu API z konta Virus Total.

   5. Wybierz pozycję Aktualizuj.

   6. Teraz zobaczysz poprawnie akcję Pobierz raport IP (wersja zapoznawcza). (Jeśli masz już konto VirusTotal, jesteś już na tym etapie.)

      

Autoryzowanie połączenia usługi Log Analytics

Następną akcją jest Warunek, który decyduje o pozostałych działaniach w pętli for-each na podstawie wyniku raportu dotyczącego adresu IP. Analizuje przypisaną do adresu IP w raporcie ocenę reputacji. Wynik wyższy niż 0 wskazuje, że adres jest nieszkodliwy; wynik niższy niż 0 wskazuje, że jest złośliwy.

Niezależnie od tego, czy warunek ma wartość true, czy false, chcemy wysłać dane w raporcie do tabeli w usłudze Log Analytics, aby można było wykonać zapytanie i przeanalizować je oraz dodać komentarz do zdarzenia.

Ale jak zobaczysz, mamy więcej nieprawidłowych połączeń, które musimy autoryzować.

1. Wybierz akcję Połączenia w ramce True .

2. Wybierz ikonę w kolumnie Nieprawidłowe dla wyświetlonego połączenia.

   

   Zostanie wyświetlony monit o podanie informacji o połączeniu.

   

3. Wprowadź wartość "Log Analytics" jako nazwę połączenia.

4. W przypadku identyfikatora obszaru roboczego skopiuj i wklej identyfikator ze strony Przegląd ustawień obszaru roboczego usługi Log Analytics.

5. Wybierz pozycję Aktualizuj.

6. Teraz zobaczysz akcję Wyślij dane prawidłowo. (Jeśli masz już połączenie usługi Log Analytics z usługi Logic Apps, będziesz już na tym etapie).

   

7. Teraz wybierz opcję Połączenia w sekcji Fałsz. Ta akcja używa tego samego połączenia co ta w ramce True.

8. Sprawdź, czy połączenie o nazwie Log Analytics jest oznaczone, a następnie wybierz pozycję Anuluj. Dzięki temu akcja będzie teraz prawidłowo wyświetlana w podręczniku.

   

   Teraz zobaczysz cały scenariusz, prawidłowo skonfigurowany.

9. Bardzo ważne! Nie zapomnij wybrać opcji Zapisz u góry okna projektanta usługi Logic Apps. Po wyświetleniu komunikatów powiadomień o pomyślnym zapisaniu podręcznika na karcie Aktywne podręczniki* na stronie automatyzacji zostanie wyświetlony podręcznik.

Tworzenie reguły automatyzacji

Aby rzeczywiście uruchomić ten podręcznik procedur, musisz utworzyć regułę automatyzacji, która będzie uruchamiana przy tworzeniu incydentów i wywoła ten podręcznik procedur.

1. Na stronie Automatyzacja wybierz pozycję + Utwórz na górnym banerze. Z menu rozwijanego wybierz pozycję Reguła automatyzacji.

   

2. W panelu Tworzenie nowej reguły automatyzacji nadaj regule nazwę "Samouczek: wzbogacanie informacji o adresie IP".

   

3. W sekcji Warunki wybierz + Dodaj i Warunek (I).

   

4. Wybierz pozycję Adres IP z listy rozwijanej właściwości po lewej stronie. Wybierz pozycję Zawiera z listy rozwijanej operatora i pozostaw pole wartości puste. W praktyce oznacza to, że reguła będzie miała zastosowanie do zdarzeń, które mają pole adresu IP zawierające dowolne elementy.

   Nie chcemy, aby żadne reguły analizy nie były objęte tą automatyzacją, ale nie chcemy, aby automatyzacja była wyzwalana niepotrzebnie, dlatego ograniczymy zasięg do zdarzeń zawierających jednostki adresów IP.

   

5. W obszarze Akcje wybierz pozycję Uruchom podręcznik z listy rozwijanej.

6. Wybierz nową listę rozwijaną, która się wyświetli.

   

   Zostanie wyświetlona lista wszystkich podręczników w subskrypcji. Wyszarzone są te, do których nie masz dostępu. W polu tekstowym Wyszukaj podręczniki zacznij wpisywać nazwę podręcznika utworzonego powyżej lub dowolną część nazwy. Lista podręczników będzie dynamicznie filtrowana przy użyciu każdej wpisanej litery.

   

   Gdy na liście zostanie wyświetlony podręcznik, wybierz go.

   

   Jeśli playbook jest wyszarzony, wybierz łącze Zarządzaj uprawnieniami playbooka (w akapicie drobnym drukiem poniżej, w którym wybrano playbook — zobacz zrzut ekranu powyżej). W otwierającym się panelu wybierz grupę zasobów zawierającą podręcznik z listy dostępnych grup zasobów, a następnie wybierz pozycję Zastosuj.

7. Wybierz ponownie pozycję + Dodaj akcję . Teraz z nowo wyświetlonej listy rozwijanej akcji wybierz pozycję Dodaj tagi.

8. Wybierz pozycję + Dodaj tag. Wprowadź ciąg "Adresy IP wzbogacone w samouczek" jako tekst tagu i wybierz przycisk OK.

   

9. Pozostaw pozostałe ustawienia bez zmian, a następnie wybierz pozycję Zastosuj.

Weryfikowanie pomyślnej automatyzacji

1. Na stronie Zdarzenia wprowadź tekst tagu Adresy IP wzbogacone w samouczek na pasku wyszukiwania i naciśnij klawisz Enter, aby odfiltrować listę zdarzeń z zastosowanym tagiem. Są to zdarzenia, dla których uruchomiono naszą regułę automatyzacji.

2. Otwórz co najmniej jedno z tych zdarzeń i sprawdź, czy istnieją komentarze dotyczące adresów IP. Obecność tych komentarzy wskazuje, że podręcznik został uruchomiony w zdarzeniu.

Czyszczenie zasobów

Jeśli nie zamierzasz nadal korzystać z tego scenariusza automatyzacji, usuń utworzony podręcznik i regułę automatyzacji, wykonując następujące kroki:

1. Na stronie Automatyzacja wybierz kartę Aktywne podręczniki .

2. Wprowadź nazwę (lub część nazwy) podręcznika utworzonego na pasku wyszukiwania .
   (Jeśli nie jest wyświetlany, upewnij się, że wszystkie filtry są ustawione na Wybierz wszystko).

3. Zaznacz pole wyboru obok podręcznika na liście, a następnie wybierz pozycję Usuń z górnego baneru.
   (Jeśli nie chcesz go usunąć, możesz wybrać pozycję Wyłącz ).

4. Wybierz kartę Reguły automatyzacji .

5. Wprowadź nazwę (lub część nazwy) reguły automatyzacji utworzonej na pasku wyszukiwania .
   (Jeśli nie jest wyświetlany, upewnij się, że wszystkie filtry są ustawione na Wybierz wszystko).

6. Zaznacz pole wyboru obok reguły automatyzacji na liście, a następnie wybierz pozycję Usuń na górnym banerze.
   (Jeśli nie chcesz go usunąć, możesz wybrać pozycję Wyłącz ).

Zawartość pokrewna

Teraz, gdy już wiesz, jak zautomatyzować podstawowy scenariusz wzbogacania incydentów, dowiedz się więcej o automatyzacji i innych scenariuszach, w których można ją zastosować.

• Zobacz więcej przykładów używania podręczników wraz z regułami automatyzacji.
• Zapoznaj się z bardziej szczegółowo dodawaniem akcji do podręczników.
• Zapoznaj się z podstawowymi scenariuszami automatyzacji , które nie wymagają podręczników.