Automação no Microsoft Sentinel: Orquestração, automação e resposta de segurança (SOAR)

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

As equipes de gerenciamento de eventos e informações de segurança (SIEM) e SOC (centro de operações de segurança) normalmente são inundadas com alertas e incidentes de segurança regularmente, em volumes tão grandes que o pessoal disponível fica sobrecarregado. Isso geralmente ocorre em situações em que muitos alertas são ignorados e muitos incidentes não são investigados, deixando a organização vulnerável a ataques que passam despercebidos.

O Microsoft Sentinel, além de ser um sistema SIEM, também é uma plataforma para orquestração, automação e resposta de segurança (SOAR). Um de seus principais objetivos é automatizar quaisquer tarefas recorrentes e previsíveis de enriquecimento, resposta e correção que são de responsabilidade de seu centro de operações de segurança e pessoal (SOC/SecOps), liberando tempo e recursos para uma investigação mais aprofundada e busca por ameaças avançadas.

Este artigo descreve os recursos de SOAR do Microsoft Sentinel e mostra como o uso de regras de automação e guias estratégicos em resposta a ameaças de segurança aumenta a eficácia do SOC e economiza tempo e recursos.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Regras de automação

O Microsoft Sentinel usa regras de automação para permitir que os usuários gerenciem a automação do tratamento de incidentes a partir de um local central. Use regras de automação para:

  • Atribua automação mais avançada a incidentes e alertas, usando playbooks
  • Marque, atribua ou feche incidentes automaticamente sem um manual
  • Automatize as respostas para várias regras de análise de uma só vez
  • Crie listas de tarefas para seus analistas executarem durante a triagem, investigação e correção de incidentes
  • Controlar a ordem das ações que são executadas

Recomendamos que você aplique regras de automação quando os incidentes forem criados ou atualizados para agilizar ainda mais a automação e simplificar fluxos de trabalho complexos para seus processos de orquestração de incidentes.

Para obter mais informações, consulte Automatizar a resposta a ameaças no Microsoft Sentinel com regras de automação.

Guias estratégicos

Um guia estratégico é uma coleção de ações e lógicas de resposta e correção que podem ser executadas no Microsoft Sentinel como uma rotina. Um manual pode:

  • Ajude a automatizar e orquestrar sua resposta a ameaças
  • Integre-se a outros sistemas, internos e externos
  • Ser configurado para ser executado automaticamente em resposta a alertas ou incidentes específicos ou executado manualmente sob demanda, como em resposta a novos alertas

No Microsoft Sentinel, os guias estratégicos são baseados em fluxos de trabalho criados nos Aplicativos Lógicos do Azure, um serviço de nuvem que ajuda você a agendar, automatizar e orquestrar tarefas e fluxos de trabalho entre sistemas em toda a empresa. Isso significa que os playbooks podem aproveitar todo o poder e a capacidade de personalização dos recursos de integração e orquestração do Logic Apps e de suas ferramentas de design fáceis de usar, além da escalabilidade, confiabilidade e nível de serviço de um serviço de Nível 1 do Azure.

Para obter mais informações, confira Automatizar a resposta a ameaças com guias estratégicos no Microsoft Sentinel.

Automação no portal do Microsoft Defender

Observe os seguintes detalhes sobre como funciona a automação para o Microsoft Sentinel no portal do Defender. Se você for um cliente existente que está fazendo a transição do portal do Azure para o portal do Defender, poderá notar diferenças na maneira como a automação funciona em seu espaço de trabalho após a integração ao portal do Defender.

Funcionalidade Descrição
Regras de automação com gatilhos de alerta No portal do Defender, as regras de automação com gatilhos de alerta atuam somente em alertas do Microsoft Sentinel. Para também automatizar as respostas aos alertas do Defender XDR, use o Gatilho de Alerta Aprimorado.

Para obter mais informações, consulte Criar gatilho de alerta.
Regras de automação com gatilhos de incidente No portal do Azure e no portal do Defender, a propriedade de condição do provedor de incidentes é removida, pois todos os incidentes têm o Microsoft XDR como o provedor de incidentes (o valor no campo ProviderName).

Nesse ponto, todas as regras de automação existentes são executadas em incidentes do Microsoft Sentinel e do Microsoft Defender XDR, incluindo aqueles em que a condição do provedor de incidentes é definida apenas como Microsoft Sentinel ou Microsoft 365 Defender.

No entanto, as regras de automação que especificam um nome de regra de análise específico são executadas somente em incidentes que contêm alertas criados pela regra de análise especificada. Isso significa que você pode definir a propriedade de condição Nome da regra de análise como uma regra de análise que existe apenas no Microsoft Sentinel para limitar sua regra a ser executada em incidentes somente no Microsoft Sentinel.

Além disso, após a integração no portal do Defender, a tabela SecurityIncident não inclui mais um campo Description . Portanto:

- Se você estiver usando esse campo Descrição como condição para uma regra de automação com um gatilho de criação de incidente, essa regra de automação não funcionará após a integração no portal do Defender. Nesses casos, certifique-se de atualizar a configuração adequadamente. Para obter mais informações, consulte Condições de acionamento do incidente.
- Se você tiver uma integração configurada com um sistema de tíquetes externo, como o ServiceNow, a descrição do incidente estará ausente.
Latência nos gatilhos do guia estratégico Pode levar até cinco minutos para que os incidentes do Microsoft Defender apareçam no Microsoft Sentinel. Se esse atraso estiver presente, o acionamento do guia estratégico também será atrasado.
Janela de processamento em lote da automação Se múltiplas alterações forem feitas no mesmo incidente em 5 a 10 minutos, uma única atualização é enviada para o Microsoft Sentinel, com apenas a mudança mais recente. Atualizações intermediárias são perdidas, o que pode afetar fluxos de trabalho que dependem do processamento de alterações sequenciais de estado de incidente.

Para obter mais informações, consulte Gatilho de atualização do incidente.
Alterações em nomes de incidentes existentes O portal do Defender usa um mecanismo exclusivo para correlacionar incidentes e alertas. Ao integrar seu espaço de trabalho ao portal do Defender, os nomes de incidentes existentes poderão ser alterados se a correlação for aplicada. Para garantir que suas regras de automação sempre sejam executadas corretamente, recomendamos que você evite usar títulos de incidentes como critérios de condição em suas regras de automação e sugira usar o nome de qualquer regra de análise que criou alertas incluídos no incidente e marcas se mais especificidade for necessária.
Atualizado por campo Após integrar o workspace, o campo Atualizado por passa a ter um novo conjunto de valores compatíveis, que não inclui mais o Microsoft 365 Defender. Nas regras de automação existentes, o Microsoft 365 Defender é substituído por um valor de Outros depois de integrar seu workspace.
Criação de regras de automação diretamente a partir de um incidente A criação de regras de automação diretamente de um incidente tem suporte apenas no portal do Azure. Se você estiver trabalhando no portal do Defender, crie suas regras de automação do zero na página Automação .
Regras de criação de incidentes da Microsoft Não há suporte para as regras de criação de incidentes da Microsoft no portal do Defender.

Para obter mais informações, consulte Incidentes do Microsoft Defender XDR e regras de criação de incidentes da Microsoft.
Executando regras de automação no portal do Defender Pode levar até 10 minutos a partir do momento em que um alerta é disparado e um incidente é criado ou atualizado no portal do Defender até quando uma regra de automação é executada. Esse intervalo de tempo ocorre porque o incidente é criado no portal do Defender e, em seguida, encaminhado ao Microsoft Sentinel para a regra de automação.
Aba de playbooks ativos Após a integração ao portal do Defender, por padrão, a guia Playbooks ativos mostra um filtro predefinido com a assinatura do espaço de trabalho integrado. No portal do Azure, adicione dados para outras assinaturas usando o filtro de assinatura.

Para obter mais informações, confira Criar e personalizar guias estratégicos do Microsoft Sentinel a partir de modelos.
Executando guias estratégicos manualmente sob demanda Atualmente, não há suporte para os seguintes procedimentos no portal do Defender:
- Execute um playbook manualmente com um alerta
- Execute manualmente um playbook em uma entidade
A execução de playbooks em incidentes requer a sincronização com o Microsoft Sentinel Se você tentar rodar um playbook sobre um incidente pelo portal Defender e vir a mensagem "Não é possível acessar dados relacionados a esta ação. Atualize a tela em alguns minutos.", isso significa que o incidente ainda não está sincronizado com o Microsoft Sentinel.

Atualize a página do incidente depois que o incidente for sincronizado para executar o guia estratégico com êxito.
Incidentes: Adicionando alertas a incidentes /
Removendo alertas de incidentes		 Como não há suporte para adicionar ou remover alertas de incidentes após integrar seu workspace ao portal do Defender, essas ações também não têm suporte nos playbooks.

Para obter mais informações, consulte Entenda como os alertas são correlacionados e os incidentes são mesclados no portal do Defender.
Integração do Microsoft Defender XDR em vários workspaces Se você integrou dados XDR com mais de um workspace em um único locatário, os dados agora serão ingeridos apenas no workspace primário no portal do Defender. Transfira as regras de automação para o espaço de trabalho correspondente para que continuem funcionando.
Automação e o mecanismo de correlação O mecanismo de correlação pode combinar alertas de vários sinais em um único incidente, o que pode resultar no recebimento de dados pela automação que você não previu. É recomendável revisar suas regras de automação para garantir que você veja os resultados esperados.

Conteúdo relacionado

  • Última atualização em