Criar tarefas de incidente no Microsoft Sentinel usando regras de automação

Este artigo explica como usar regras de automação para criar listas de tarefas de incidentes, a fim de padronizar os processos de fluxo de trabalho do analista no Microsoft Sentinel.

As tarefas de incidente podem ser criadas automaticamente não apenas por regras de automação, mas também por guias estratégicos e também manualmente, ad-hoc, de dentro de um incidente.

Casos de uso para funções diferentes

Este artigo aborda os seguintes cenários que se aplicam a gerentes de SOC, analistas seniores e engenheiros de automação:

• Exibir regras de automação com ações de tarefa do incidente
• Adicionar tarefas a incidentes com regras de automação

O cenário de adição de tarefas a incidentes com playbooks é abordado no artigo complementar a seguir:

• Adicionar tarefas a incidentes com guias estratégicos

O artigo Trabalho com tarefas aborda os seguintes cenários que se aplicam mais aos analistas SOC:

• Exibir e acompanhar tarefas de incidente
• Adicionar manualmente uma tarefa ad hoc a um incidente

Pré-requisitos

A função de Respondente do Microsoft Sentinel é necessária para criar regras de automação e exibir e editar incidentes, ambas necessárias para adicionar, exibir e editar tarefas.

Ver regras de automação com ações para tarefas de incidente

Na página Automação , você pode filtrar a exibição das regras de automação para ver apenas aquelas que têm as ações Adicionar tarefa definidas.

1. Selecione o filtro Ações .

2. Desmarcar a caixa de seleção Selecionar tudo .

3. Role para baixo e marque a caixa de seleção Adicionar tarefa .

4. Selecione OK e veja os resultados.

   

   Os resultados filtrados são as regras de automação que adicionam tarefas aos incidentes. A coluna Nomes de regra do Analytics informa a quais regras de análise essas regras de automação estão condicionadas, para que você tenha uma ideia geral de quais incidentes são afetados.

   Observação

   Para ter conhecimento exato se uma regra de automação se aplicará a um incidente específico, você deve abrir a regra para ver se alguma condição adicional foi definida, além da condição de regra de análise. Se outras condições forem definidas, o escopo dos incidentes afetados será reduzido de acordo.

Adicionar tarefas a incidentes com regras de automação

Execute os seguintes passos para adicionar tarefas aos incidentes usando uma regra de automação:

1. Na página Automação , selecione + Criar e selecione Regra de automação.

2. O painel Criar regra de automação será aberto no lado direito.
   Dê um nome à regra de automação que descreva o que ela faz.

3. Selecione Quando o incidente é criado como o gatilho (você também pode usar Quando o incidente é atualizado).

4. Adicionar condições para determinar a quais incidentes novas tarefas serão adicionadas.

   Por exemplo, filtre por nome da regra do Analytics:

   • Talvez você queira adicionar tarefas a incidentes com base nos tipos de ameaças detectadas por uma regra de análise ou um grupo de regras de análise que precisam ser tratadas de acordo com um determinado fluxo de trabalho. Pesquise e selecione as regras de análise relevantes na lista suspensa.

   • Ou talvez você queira adicionar tarefas relevantes para incidentes em todos os tipos de ameaças (nesse caso, deixe a seleção padrão de Todos como está).

   Se você selecionar regras de análise específicas ou deixar Tudo selecionado, poderá adicionar mais condições para restringir o escopo de incidentes aos quais sua regra de automação será aplicada. Saiba mais sobre como adicionar condições avançadas a regras de automação.

   Uma coisa que você precisará considerar é que a ordem na qual as tarefas aparecem em seu incidente é determinada pela hora de criação das tarefas. Você pode definir a ordem das regras de automação para que as regras que adicionam tarefas necessárias para todos os incidentes sejam executadas primeiro e, somente depois, todas as regras que adicionam tarefas necessárias para incidentes gerados por regras de análise específicas.

   

5. Em Ações, selecione Adicionar tarefa.

   

6. Para cada tarefa, insira um título no campo Título da tarefa e (opcionalmente) selecione + Adicionar descrição para abrir um campo de descrição.
   Somente os títulos das tarefas aparecem por padrão no painel da lista de tarefas do incidente. A descrição de uma tarefa aparece somente quando o item de tarefa é expandido.

   

7. No campo de descrição, você pode adicionar uma descrição de formato livre para a tarefa, incluindo imagens, links e formatação de rich text (consulte os hiperlinks, listas numeradas e texto formatado com bloco de código nos exemplos abaixo).

   

8. Adicione mais tarefas ao mesmo grupo de incidentes selecionando + Adicionar ação e repetindo as últimas três etapas.

   As tarefas serão criadas e adicionadas ao incidente de acordo com a ordem das ações Adicionar tarefa em sua regra de automação.

   

9. Conclua a criação da regra de automação concluindo as etapas restantes, Expiração da regra e Ordem, e selecionando Aplicar no final. Confira Criar e usar regras de automação do Microsoft Sentinel para gerenciar a resposta para obter detalhes completos.

   Em relação à configuração de Ordem: A ordem em que as tarefas aparecem nos seus incidentes depende de duas coisas:

   1. A ordem de execução das regras de automação, conforme determinado pelo número na configuração Pedido e...
   2. A ordem das ações Adicionar tarefa definidas em cada regra de automação.

Conteúdo relacionado

• Utilizar tarefas para gerir incidentes em Microsoft Sentinel no portal do Azure
• Investigue incidentes com Microsoft Sentinel (legado)
• Criar e executar tarefas de incidentes no Microsoft Sentinel usando playbooks
• Trabalhe com tarefas de incidente no Microsoft Sentinel no portal do Azure.
• Automatizar a resposta a ameaças no Microsoft Sentinel com regras de automação
• Crie e use regras de automação do Microsoft Sentinel para gerenciar a resposta.