Tutorial: Verifique e registre automaticamente as informações sobre a reputação do endereço IP em incidentes

Uma maneira rápida e fácil de avaliar a gravidade de um incidente é verificar se algum endereço IP nele é conhecido por ser fonte de atividade maliciosa. Ter uma maneira de fazer isso automaticamente pode economizar muito tempo e esforço.

Neste tutorial, você aprenderá a usar as regras de automação e os playbooks do Microsoft Sentinel para verificar automaticamente os endereços IP em seus incidentes comparando-os com uma fonte de inteligência de ameaças e registrar cada resultado no incidente correspondente.

Ao concluir este tutorial, você poderá:

Pré-requisitos

Para concluir este tutorial, verifique se você tem:

• Uma assinatura do Azure. Crie uma conta gratuita , caso ainda não tenha uma.

• Um espaço de trabalho do Log Analytics com a solução do Microsoft Sentinel implantada nesse espaço de trabalho e com dados sendo ingeridos nele.

• Um usuário do Azure com as seguintes funções atribuídas nos seguintes recursos:

  • Colaborador do Microsoft Sentinel no workspace do Log Analytics onde o Microsoft Sentinel está implantado.
  • Colaborador do Aplicativo Lógico e Proprietário ou equivalente em qualquer grupo de recursos que contenha o guia estratégico criado neste tutorial.

• Solução VirusTotal instalada do Hub de Conteúdo

• Uma conta VirusTotal (gratuita) será suficiente para este tutorial. Uma implementação de produção requer uma conta VirusTotal Premium.

• Um Agente do Azure Monitor instalado em pelo menos um computador em seu ambiente, para que os incidentes sejam gerados e enviados ao Microsoft Sentinel.

Criar um guia estratégico a partir de um modelo

O Microsoft Sentinel inclui modelos de guia estratégico prontos para uso que você pode personalizar e usar para automatizar um grande número de objetivos e cenários básicos de SecOps. Vamos encontrar uma solução para enriquecer as informações sobre endereços IP em nossos incidentes.

1. No Microsoft Sentinel, selecione Configuração>.

2. Na página Automação, selecione a guia Modelos de playbook (Prévia).

3. Localize e selecione um dos modelos de Enriquecimento de IP - relatório do Virus Total, para gatilhos de entidade, incidente ou alerta. Se necessário, filtre a lista pela tag Enriquecimento para encontrar seus modelos.

4. Selecione Criar guia estratégico no painel de detalhes. Por exemplo:

   

5. O assistente Criar playbook será aberto. Na guia Noções básicas :

   1. Selecione sua Assinatura, o Grupo de recursos e a Região nas respectivas listas suspensas.

   2. Edite o nome do Playbook adicionando ao final do nome sugerido "Get-VirusTotalIPReport". Dessa forma, você poderá saber de qual modelo original este manual veio, garantindo que ele tenha um nome exclusivo caso queira criar outro manual a partir desse mesmo modelo. Vamos chamá-lo de "Get-VirusTotalIPReport-Tutorial-1".

   3. Deixe a opção Habilitar logs de diagnóstico no Log Analytics desmarcada.

   4. Selecione Avançar : Conexões >.

6. Na guia Conexões, você verá todas as conexões que esse playbook precisa estabelecer com outros serviços e o método de autenticação que será usado se essa conexão já tiver sido criada em um fluxo de trabalho existente do Logic App no mesmo grupo de recursos.

   1. Deixe a conexão do Microsoft Sentinel como está (deve ser "Conectar-se com a identidade gerenciada").

   2. Se alguma conexão disser "Nova conexão será configurada", você será solicitado a fazer isso na próxima etapa do tutorial. Ou, se você já tiver conexões com esses recursos, selecione a seta de expansão à esquerda da conexão e escolha uma conexão existente na lista expandida. Neste exercício, vamos deixá-lo como está.

      

   3. Selecione Avançar : Examinar e criar >.

7. Na guia Revisar e criar, revise todas as informações inseridas, conforme exibido aqui, e selecione Criar playbook.

   

   À medida que o guia estratégico for implantado, você verá uma série rápida de notificações sobre seu progresso. Em seguida, o Designer de aplicativo lógico será aberto com o guia estratégico exibido. Ainda precisamos autorizar as conexões do aplicativo lógico aos recursos com os quais ele interage para que o guia estratégico possa ser executado. Em seguida, examinaremos cada uma das ações no manual para garantir que elas sejam adequadas ao nosso ambiente, fazendo alterações, se necessário.

   

Autorizar conexões de aplicativos lógicos

Lembre-se de que, quando criamos o playbook a partir do modelo, nos foi informado que as conexões do Azure Log Analytics Data Collector e do VirusTotal seriam configuradas posteriormente.

É aqui que fazemos isso.

Autorizar conexão com o VirusTotal

1. Selecione a ação Para cada para expandi-la e revise seu conteúdo, que inclui as ações que serão executadas para cada endereço IP. Por exemplo:

   

2. O primeiro item de ação que você vê é rotulado como Conexões e tem um triângulo de aviso laranja.

   Se, em vez disso, essa primeira ação for rotulada Obter um relatório de IP (Versão prévia), isso significa que você já tem uma conexão existente com o Virus Total e pode ir para a próxima etapa.

   1. Selecione a ação Conexões para abri-la.

   2. Selecione o ícone na coluna Inválido para a conexão exibida.

      

      Serão solicitadas informações de conexão.

      

   3. Insira "Total de Vírus" como o nome da Conexão.

   4. Para x-api_key, copie e cole a chave de API da sua conta do Virus Total.

   5. Selecione Atualizar.

   6. Agora você verá a ação Obter um relatório de IP (Versão prévia) corretamente. (Se você já tinha uma conta Virus Total, já estará nesta fase.)

      

Autorizar conexão do Log Analytics

A próxima ação é uma Condição que determina o restante das ações do loop for-each com base no resultado do relatório de endereço IP. Ele analisa a pontuação de reputação dada ao endereço IP no relatório. Uma pontuação superior a 0 indica que o endereço é inofensivo; Uma pontuação inferior a 0 indica que é mal-intencionado.

Independentemente de a condição ser verdadeira ou falsa, queremos enviar os dados no relatório para uma tabela no Log Analytics para que possam ser consultados e analisados e adicionar um comentário ao incidente.

Mas, como você verá, temos mais conexões inválidas que precisamos autorizar.

1. Selecione a ação Conexões no bloco True.

2. Selecione o ícone na coluna Inválido para a conexão exibida.

   

   Serão solicitadas informações de conexão.

   

3. Insira "Análise de Logs" como o nome da conexão.

4. Em ID do Espaço de trabalho, copie e cole o ID da página Visão geral das configurações do workspace do Log Analytics.

5. Selecione Atualizar.

6. Agora você verá a ação Enviar dados corretamente. (Se você já tinha uma conexão com o Log Analytics do Logic Apps, já estará nesta etapa.)

   

7. Agora selecione a ação Conexões no quadro False . Essa ação usa a mesma conexão que a do quadro Verdadeiro.

8. Verifique se a conexão chamada Log Analytics está marcada e selecione Cancelar. Isso garante que a ação agora será exibida corretamente no manual.

   

   Agora você verá todo o seu guia estratégico, devidamente configurado.

9. Muito importante! Não se esqueça de selecionar Salvar na parte superior da janela do Designer de aplicativo lógico. Depois que aparecerem mensagens de notificação informando que seu playbook foi salvo com êxito, você verá seu playbook listado na guia Playbooks ativos* na página Automação.

Criar uma regra de automação

Agora, para realmente executar esse manual, você precisará criar uma regra de automação que será executada quando os incidentes forem criados e invocar o manual.

1. Na página Automação, selecione + Criar na barra superior. No menu suspenso, selecione Regra de automação.

   

2. No painel Criar regra de automação , nomeie a regra como "Tutorial: Enriquecer informações de IP".

   

3. Em Condições, selecione + Adicionar e Condição (E).

   

4. Selecione Endereço IP no menu suspenso de propriedades à esquerda. Selecione Contém na lista suspensa do operador e deixe o campo de valor em branco. Isso significa efetivamente que a regra se aplicará a incidentes que tenham um campo de endereço IP que contenha qualquer coisa.

   Não queremos impedir que nenhuma regra de análise seja coberta por essa automação, mas também não queremos que a automação seja acionada desnecessariamente, portanto, limitaremos a cobertura a incidentes que contenham entidades de endereço IP.

   

5. Em Ações, selecione Executar guia estratégico na lista suspensa.

6. Selecione a nova lista suspensa exibida.

   

   Você verá uma lista de todos os guias estratégicos em sua assinatura. Os itens acinzentados são aqueles a que você não tem acesso. Na caixa de texto Pesquisar guias estratégicos , comece a digitar o nome - ou qualquer parte do nome - do guia estratégico que criamos acima. A lista de guias estratégicos será filtrada dinamicamente a cada letra que você digitar.

   

   Quando você vir seu guia estratégico na lista, selecione-o.

   

   Se o playbook estiver acinzentado, selecione o link Gerenciar permissões do playbook (no parágrafo em letras miúdas abaixo de onde você selecionou um playbook — veja a captura de tela acima). No painel que se abre, selecione o grupo de recursos que contém o manual na lista de grupos de recursos disponíveis e selecione Aplicar.

7. Selecione + Adicionar ação novamente. Agora, no novo menu suspenso de ação que aparece, selecione Adicionar tags.

8. Selecione + Adicionar marca. Insira "Endereços IP enriquecidos com tutorial" como texto da etiqueta e selecione OK.

   

9. Deixe as configurações restantes como estão e selecione Aplicar.

Verificar automação bem-sucedida

1. Na página Incidentes, insira o texto da tag Tutorial-Enriched IP addresses na barra Search e pressione a tecla Enter para filtrar a lista por incidentes aos quais essa tag foi aplicada. Esses são os incidentes nos quais nossa regra de automação foi executada.

2. Abra um ou mais desses incidentes e veja se há comentários sobre os endereços IP lá. A presença desses comentários indica que o guia estratégico foi executado no incidente.

Limpe os recursos

Se você não vai continuar a usar esse cenário de automação, exclua o guia estratégico e a regra de automação criados com as seguintes etapas:

1. Na página Automação, selecione a guia Playbooks ativos.

2. Insira o nome (ou parte do nome) do guia estratégico que você criou na barra de pesquisa .
   (Se não aparecer, verifique se todos os filtros estão definidos como Selecionar tudo.)

3. Marque a caixa de seleção ao lado do seu playbook na lista e selecione Excluir no banner superior.
   (Se você não quiser excluí-lo, poderá selecionar Desabilitar em vez disso.)

4. Selecione a guia Regras de automação .

5. Insira o nome (ou parte do nome) da regra de automação criada na barra de pesquisa .
   (Se não aparecer, verifique se todos os filtros estão definidos como Selecionar tudo.)

6. Marque a caixa de seleção ao lado da sua regra de automação na lista e selecione Excluir na barra superior.
   (Se você não quiser excluí-lo, poderá selecionar Desabilitar em vez disso.)

Conteúdo relacionado

Agora que você aprendeu como automatizar um cenário básico de enriquecimento de incidentes, saiba mais sobre automação e outros cenários em que você pode usá-la.

• Veja mais exemplos de como usar guias estratégicos junto com regras de automação.
• Aprofunde-se na adição de ações aos guias estratégicos.
• Conheça alguns cenários básicos de automação que não exigem playbooks.