Tworzenie i dostosowywanie podręczników Microsoft Sentinel na podstawie szablonów

Szablon podręcznika to wstępnie utworzony, przetestowany i gotowy do użycia przepływ pracy automatyzacji dla Microsoft Sentinel, który można dostosować do twoich potrzeb. Szablony mogą również służyć jako odwołanie do najlepszych rozwiązań podczas opracowywania podręczników od podstaw lub jako inspiracja dla nowych scenariuszy automatyzacji.

Szablony podręczników same w sobie nie są aktywnymi podręcznikami i musisz utworzyć edytowalną kopię na swoje potrzeby.

Wiele szablonów podręczników jest opracowywanych przez społeczność Microsoft Sentinel, niezależnych dostawców oprogramowania (ISV) i własnych ekspertów firmy Microsoft w oparciu o popularne scenariusze automatyzacji używane przez centra operacji zabezpieczeń na całym świecie.

Wymagania wstępne

Aby tworzyć podręczniki i zarządzać nimi, musisz mieć dostęp do Microsoft Sentinel z jedną z następujących ról Azure:

• Logic App Contributor, aby edytować aplikacje logiki i zarządzać nimi
• Operator usługi Logic Apps, odczytywanie, włączanie i wyłączanie usług Logic Apps

Aby uzyskać więcej informacji, zobacz Microsoft Sentinel wymagania wstępne podręcznika.

Zalecamy zapoznanie się z podręcznikami usługi Azure Logic Apps dla rozwiązania Microsoft Sentinel przed utworzeniem playbooka.

Uzyskiwanie dostępu do szablonów podręczników

Uzyskiwanie dostępu do szablonów podręczników z następujących źródeł:

Z technicznego punktu widzenia szablon playbooka to szablon usługi Azure Resource Manager (ARM), który składa się z kilku zasobów: przepływu pracy usługi Azure Logic Apps oraz połączeń interfejsu API dla każdego używanego połączenia.

Poniższa procedura koncentruje się na wdrożeniu szablonu playbooka z zakładki szablonów Playbooka w sekcji Automatyzacja.

Eksplorowanie szablonów podręczników

W Microsoft Sentinel w portalu Azure wybierz stronę Zarządzanie zawartością>Centrum zawartości. W przypadku Microsoft Sentinel w portalu usługi Defender wybierz pozycję Microsoft Sentinel>Zarządzanie zawartością> Centrumzawartości.

Na stronie Centrum zawartości wybierz pozycję Typ zawartości , aby odfiltrować element Playbook. Strona centrum filtrowanej treści zawiera listę wszystkich rozwiązań oraz samodzielnych treści, które zawierają jeden lub więcej szablonów playbooków. Zainstaluj rozwiązanie lub zawartość autonomiczną, aby pobrać szablon.

Aby wyświetlić zainstalowane szablony, wybierz kartę Configuration>Automation>Szablony podręczników. Na przykład:

Aby znaleźć szablon podręcznika spełniający twoje wymagania, przefiltruj listę według następujących kryteriów:

Przykład:

Dostosowywanie podręcznika na podstawie szablonu

Poniższe kroki opisują, jak wdrażać szablony playbooków i można je powtarzać, tworząc wiele playbooków z tego samego szablonu.

Chociaż z większości szablonów playbooków można korzystać bez zmian, zalecamy dostosowanie ich w razie potrzeby tak, aby odpowiadały potrzebom Twojego SOC.

1. Na karcie Szablony playbooków wybierz playbook, od którego chcesz zacząć.

2. Jeśli podręcznik ma jakiekolwiek wymagania wstępne, postępuj zgodnie z instrukcjami. Przykład:

   • Niektóre podręczniki nazywają inne podręczniki akcjami. Podręcznik zagrywek nazywany jest zagnieżdżonym playbookiem. W takim przypadku jednym z wymagań wstępnych jest najpierw wdrożenie zagnieżdżonego podręcznika.

   • Niektóre podręczniki wymagają wdrożenia niestandardowego łącznika usługi Logic Apps lub funkcji Azure. W takich przypadkach istnieje link Deploy to Azure , który prowadzi do ogólnego procesu wdrażania szablonu usługi ARM.

3. Wybierz pozycję Utwórz podręcznik , aby otworzyć kreatora tworzenia podręcznika na podstawie wybranego szablonu. Kreator ma cztery karty:

   • Podstawy: Znajdź nowy podręcznik, który jest zasobem usługi Logic Apps, i nadaj mu nazwę. Możesz użyć wartości domyślnej. Przykład:

     

   • Parametry: Wprowadź wartości specyficzne dla klienta, których używa podręcznik. Na przykład jeśli playbook wysyła wiadomość e-mail do SOC, zdefiniuj adres odbiorcy. Jeśli w playbooku jest używany łącznik niestandardowy, musi on zostać wdrożony w tej samej grupie zasobów, a na karcie Parametry pojawi się monit o podanie jego nazwy.

     Karta Parametry jest wyświetlana tylko wtedy, gdy podręcznik ma parametry. Przykład:

     

   • Połączenia: Rozwiń każdą akcję, aby wyświetlić istniejące połączenia utworzone dla poprzednich podręczników. Możesz wybrać użycie istniejących połączeń lub utworzyć nowe. Przykład:

     

     • Aby utworzyć nowe połączenie, wybierz pozycję Utwórz nowe połączenie po wdrożeniu. Opcja Utworzenie nowego połączenia po wdrożeniu przenosi Cię do projektanta Logic Apps po zakończeniu procesu wdrożenia.

     • Łączniki niestandardowe są wyświetlane według nazwy łącznika niestandardowego wprowadzonej na karcie Parametry .

     • W przypadku łączników obsługujących nawiązywanie połączenia z tożsamością zarządzaną, takich jak Microsoft Sentinel, tożsamość zarządzana jest domyślną metodą połączenia.

     Aby uzyskać więcej informacji, zobacz Uwierzytelnianie podręczników w usłudze Microsoft Sentinel.

   • Przejrzyj i utwórz: Przed utworzeniem podręcznika wyświetl podsumowanie procesu i poczekaj na walidację danych wejściowych.

4. Po wykonaniu wszystkich kroków w kreatorze tworzenia playbooka zostaniesz przeniesiony do projektu przepływu pracy nowego playbooka w projektancie usługi Logic Apps. Przykład:

   

5. Dla każdego łącznika, dla którego po wdrożeniu wybrano pozycję Utwórz nowe połączenie, utwórz połączenie:

   1. Z menu nawigacji wybierz pozycję Połączenia interfejsu API , a następnie wybierz nazwę połączenia. Przykład:

      

   2. Wybierz pozycję Edytuj połączenie interfejsu API z menu nawigacji.

   3. Wypełnij wymagane parametry i wybierz pozycję Zapisz. Przykład:

      

   Alternatywnie utwórz nowe połączenie z poziomu odpowiednich kroków w projektancie usługi Logic Apps:

   1. Dla każdego kroku wyświetlanego ze znakiem błędu wybierz go do rozwinięcia, a następnie wybierz pozycję Dodaj nowy.

   2. Uwierzytelnij się zgodnie z odpowiednimi instrukcjami. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie podręczników w usłudze Microsoft Sentinel.

   3. Jeśli istnieją inne kroki korzystania z tego samego łącznika, rozwiń pola. Z wyświetlonej listy połączeń wybierz właśnie utworzone połączenie.

6. Jeśli wybrano połączenie z tożsamością zarządzaną dla Microsoft Sentinel lub innych obsługiwanych połączeń, upewnij się, że nowemu playbookowi przyznano uprawnienia do obszaru roboczego Microsoft Sentinel lub do odpowiednich zasobów docelowych w przypadku innych łączników.

7. Zapisz podręcznik. Podręcznik pojawia się na karcie Aktywne podręczniki.

Aby uruchomić podręcznik, ustaw automatyczną odpowiedź lub uruchom ją ręcznie. Aby uzyskać więcej informacji, zobacz Reagowanie na zagrożenia za pomocą podręczników Microsoft Sentinel.

Zgłaszanie problemu w szablonie podręcznika

Aby zgłosić usterkę lub zażądać ulepszenia podręcznika, wybierz link Obsługiwane przez w okienku szczegółów podręcznika. Jeśli playbook jest wspierany przez społeczność, link prowadzi do otwarcia zgłoszenia w serwisie GitHub. W przeciwnym razie zostaniesz przekierowany na stronę kibica z informacjami o sposobie wysyłania opinii.

Zawartość pokrewna

• Automatyzowanie reagowania na zagrożenia za pomocą podręczników Microsoft Sentinel
• Zalecane szablony podręczników
• Automatyzowanie i uruchamianie podręczników Microsoft Sentinel