Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Microsoft Sentinel zapewnia funkcje orkiestracji zabezpieczeń, automatyzacji i reagowania (SOAR) za pomocą reguł automatyzacji i podręczników. Reguły automatyzacji ułatwiają prostą obsługę zdarzeń i reagowanie na nie, a podręczniki uruchamiają bardziej złożone sekwencje akcji w celu reagowania na zagrożenia i ich korygowania. W tym artykule omówiono, jak identyfikować przypadki użycia SOAR oraz jak migrować automatyzację Splunk SOAR do reguł automatyzacji i playbooków w Microsoft Sentinel.
Aby uzyskać więcej informacji na temat różnic między regułami automatyzacji a podręcznikami, zobacz następujące artykuły:
- Automatyzowanie reagowania na zagrożenia przy użyciu reguł automatyzacji
- Automatyzowanie reagowania na zagrożenia za pomocą podręczników
Identyfikowanie przypadków użycia aplikacji SOAR
Oto, o czym należy pomyśleć podczas migrowania przypadków użycia aplikacji SOAR z aplikacji Splunk.
- Jakość przypadków użycia: Wybieraj przypadki automatyzacji oparte na procedurach jasno określonych, z minimalnymi różnicami i niskim wskaźnikiem fałszywie pozytywnych wyników.
- Interwencja manualna: Automatyczne reakcje mogą mieć szerokie skutki. Automatyzacje o dużym wpływie powinny mieć dane wejściowe człowieka, aby potwierdzić działania o dużym wpływie przed ich podjęciem.
- Kryteria binarne: Aby zwiększyć skuteczność odpowiedzi, punkty decyzyjne w zautomatyzowanym przepływie pracy powinny być jak najmniejsze, z wykorzystaniem kryteriów binarnych. Gdy w zautomatyzowanym podejmowaniu decyzji istnieją tylko dwie zmienne, potrzeba interwencji człowieka jest ograniczona, a przewidywalność wyników jest zwiększona.
- Dokładne alerty lub dane: Działania reagujące zależą od dokładności sygnałów, takich jak alerty. Alerty i źródła wzbogacenia powinny być niezawodne. Microsoft Sentinel zasoby, takie jak listy obserwowanych i analiza zagrożeń z wysokim poziomem ufności, zwiększają niezawodność.
- Rola analityka: Choć automatyzacja jest świetna, najtrudniejsze zadania rezerwuj dla analityków. Zapewnij im możliwość zgłaszania uwag do przepływów pracy wymagających weryfikacji. Krótko mówiąc, automatyzacja reagowania powinna wspierać i rozszerzać możliwości analityków.
Migracja przepływu pracy SOAR
W tej sekcji przedstawiono, w jaki sposób kluczowe pojęcia dotyczące rozwiązania Splunk SOAR przekładają się na składniki Microsoft Sentinel, oraz przedstawiono ogólne wskazówki dotyczące migrowania poszczególnych kroków lub składników w przepływie pracy SOAR.
| Krok (na diagramie) | Splunk | Microsoft Sentinel |
|---|---|---|
| 1 | Prześlij zdarzenia do głównego indeksu. | Przekazywanie zdarzeń do obszaru roboczego usługi Log Analytics. |
| 2 | Tworzenie kontenerów. | Tagowanie zdarzeń przy użyciu funkcji szczegółów niestandardowych. |
| 3 | Tworzenie przypadków. | Microsoft Sentinel może automatycznie grupować incydenty zgodnie z kryteriami zdefiniowanymi przez użytkownika, takimi jak współdzielone jednostki lub poziom ważności. Te alerty generują następnie zdarzenia. |
| 4 | Tworzenie podręczników. | Usługa Azure Logic Apps wykorzystuje kilka konektorów do koordynowania działań w środowiskach Microsoft Sentinel, Azure, innych firm oraz chmury hybrydowej. |
| 4 | Tworzenie skoroszytów. | Microsoft Sentinel wykonuje podręczniki automatyzacji oddzielnie lub jako część sekwencyjnej reguły automatyzacji. Podręczniki można również wykonywać ręcznie względem alertów lub zdarzeń zgodnie ze wstępnie zdefiniowaną procedurą centrum operacji zabezpieczeń (SOC). |
Mapowanie składników SOAR
Sprawdź, które funkcje Microsoft Sentinel lub Azure Logic Apps odpowiadają głównym składnikom Splunk SOAR.
| Splunk | Microsoft Sentinel/Azure Logic Apps |
|---|---|
| Edytor podręczników | Projektant aplikacji logiki |
| Wyzwalacz | Wyzwalacz |
| - Złącza - Aplikacja - Broker automatyzacji |
-
Złącze - Hybrydowy Runbook Worker |
| Bloki akcji | Action |
| Broker łączności | Hybrydowy proces roboczy elementu Runbook |
| Community |
-
Zakładka Szablony automatyzacji > - Katalog Content Hub - GitHub |
| Decyzja | Sterowanie warunkowe |
| Code | Łącznik Azure Function |
| Monit | Wysyłanie wiadomości e-mail z zatwierdzeniem |
| Formatowanie | Operacje na danych |
| Podręczniki wejściowe | Uzyskiwanie danych wejściowych zmiennych z wyników wykonanych wcześniej kroków lub jawnie zadeklarowanych zmiennych |
| Ustaw parametry przy użyciu narzędzia API bloku Utility | Zarządzanie incydentami za pomocą Microsoft Sentinel Incidents REST API |
Operacjonalizowanie podręczników i reguł automatyzacji w Microsoft Sentinel
Większość playbooków, których używasz w Microsoft Sentinel, jest dostępna w zakładce Szablony Automatyzacji>, katalogu Content Hub lub przykładowych playbookach Microsoft Sentinel na GitHub. W niektórych przypadkach może być jednak konieczne utworzenie podręczników od podstaw lub z istniejących szablonów.
Zazwyczaj tworzysz niestandardową aplikację logiki przy użyciu funkcji Designer Azure Logic App. Kod aplikacji Azure Logic Apps jest oparty na szablonach usługi Azure Resource Manager (ARM), które ułatwiają tworzenie, wdrażanie i przenoszenie aplikacji Azure Logic Apps między wieloma środowiskami. Aby przekształcić niestandardowy playbook w przenośny szablon ARM, możesz użyć generatora szablonów ARM.
Korzystaj z poniższych artykułów i poradników na przypadki, gdy musisz zbudować własne playbooki od podstaw lub na podstawie istniejących szablonów:
- Automatyzowanie obsługi zdarzeń w Microsoft Sentinel
- Automatyzowanie reagowania na zagrożenia za pomocą podręczników w Microsoft Sentinel
- Samouczek: jak używać podręczników z regułami automatyzacji w Microsoft Sentinel
- Jak używać Microsoft Sentinel na potrzeby reagowania na zdarzenia, orkiestracji i automatyzacji
- Karty adaptacyjne w celu zwiększenia reagowania na zdarzenia w Microsoft Sentinel
Najlepsze rozwiązania dotyczące programu SOAR po migracji
Poniżej przedstawiono najlepsze rozwiązania, które należy wziąć pod uwagę po migracji aplikacji SOAR:
- Po przeprowadzeniu migracji podręczników przetestuj podręczniki w szerokim zakresie, aby upewnić się, że zmigrowane akcje działają zgodnie z oczekiwaniami.
- Okresowo przeglądaj automatyzacje, aby eksplorować sposoby dalszego upraszczania lub ulepszania aplikacji SOAR. Microsoft Sentinel stale dodaje nowe łączniki i akcje, które mogą pomóc w dalszym uproszczeniu lub zwiększeniu skuteczności bieżących implementacji odpowiedzi.
- Monitorowanie wydajności podręczników przy użyciu skoroszytu monitorowania kondycji podręczników.
- Użyj tożsamości zarządzanych i nazw głównych usług: uwierzytelniaj się w różnych usługach Azure w aplikacjach logiki, przechowuj wpisy tajne w usłudze Azure Key Vault i ukrywaj dane wyjściowe wykonywania przepływu. Zalecamy również monitorowanie działań tych jednostek usługi.