Tutorial: Extrair entidades de incidentes com ações não nativas

O mapeamento de entidades enriquece alertas e incidentes com informações essenciais para quaisquer processos investigativos e ações corretivas que se seguem.

Os guias estratégicos do Microsoft Sentinel incluem estas ações nativas para extrair informações da entidade:

• Contas
• DNS
• Hashes de arquivo
• Hosts
• IPs
• URLs

Além dessas ações, o mapeamento de entidade de regra analítica contém tipos de entidade que não são ações nativas, como malware, processo, chave do Registro, caixa de correio e muito mais. Neste tutorial, você aprenderá a trabalhar com ações não nativas usando diferentes ações internas para extrair os valores relevantes.

Neste tutorial, você aprende a:

Pré-requisitos

Para concluir este tutorial, verifique se você tem:

• Uma assinatura do Azure. Crie uma conta gratuita , caso ainda não tenha uma.

• Um usuário do Azure com as seguintes funções atribuídas nos seguintes recursos:

  • Colaborador do Microsoft Sentinel no workspace do Log Analytics onde o Microsoft Sentinel está implantado.
  • Colaborador do Aplicativo Lógico e Proprietário ou equivalente em qualquer grupo de recursos que contenha o guia estratégico criado neste tutorial.

• Uma conta VirusTotal (gratuita) será suficiente para este tutorial. Uma implementação de produção requer uma conta VirusTotal Premium.

Criar um guia estratégico com um gatilho de incidente

1. Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>>. Para o Microsoft Sentinel no portal do Azure, selecione a página Configuração>.

2. Na página Automação, selecione Criar>Guia estratégico com gatilho de incidente.

3. No assistente para Criar playbook, em Básico, selecione a assinatura e o grupo de recursos e atribua um nome ao playbook.

4. Selecione Avançar: Conexões >.

   Em Conexões, a conexão Microsoft Sentinel - Conectar-se com a identidade gerenciada deve estar visível. Por exemplo:

   

5. Selecione Avançar: Revisar e criar >.

6. Em Revisar e criar, selecione Criar e prosseguir para o designer.

   O Designer de aplicativo lógico abre um aplicativo lógico com o nome do seu guia estratégico.

   

Inicializar uma variável de matriz

1. No designer do aplicativo lógico, na etapa em que você deseja adicionar uma variável, selecione Nova etapa.

2. Em Escolher uma operação, na caixa de pesquisa, digite variáveis como filtro. Na lista de ações, selecione Inicializar variável.

3. Forneça estas informações sobre sua variável:

   1. Para o nome da variável, use Entidades.

   2. Para o tipo, selecione Array.

   3. Para o valor, passe o mouse sobre o campo Valor e selecione fx no grupo de ícones azuis à esquerda.

      

   4. Na caixa de diálogo que é aberta, selecione a guia Conteúdo dinâmico e, na caixa de pesquisa, digite entidades.

   5. Selecione Entidades na lista e selecione Adicionar.

      

Selecionar um incidente existente

1. No Microsoft Sentinel, navegue até Incidentes e selecione um incidente no qual você deseja executar o guia estratégico.

2. Na página de incidentes à direita, selecione Guia estratégico de execução de ações > (Versão prévia).

3. Em Playbooks, ao lado do playbook que você criou, selecione Executar.

   Quando o playbook é acionado, uma mensagem Playbook acionado com sucesso fica visível no canto superior direito.

4. Selecione Execuções e, ao lado do seu playbook, selecione Ver execução.

   A página de execução do aplicativo lógico está visível.

5. Em Inicializar variável, o conteúdo de exemplo é visível em Valor. Anote o payload de exemplo para usar mais tarde.

   

Filtre o tipo de entidade necessário de outros tipos de entidade

1. Navegue de volta para a página Automação e selecione seu guia estratégico.

2. Na etapa em que você deseja adicionar uma variável, selecione Nova etapa.

3. Em Escolher uma ação, na caixa de pesquisa, insira a matriz de filtros como filtro. Na lista de ações, selecione Operações de dados.

   

4. Forneça estas informações sobre sua matriz de filtros:

   1. Em Deconteúdo dinâmico, selecione >.

   2. Selecione o primeiro Escolha um campo de valor (à esquerda) e selecione Expressão.

   3. Cole o valor item()?['kind'] e selecione OK.

      

   4. Deixe o valor é igual a (não modifique).

   5. No segundo campo Escolha um valor (à direita), digite Process. Isso precisa ser uma correspondência exata com o valor no sistema.

      Observação

      Essa consulta diferencia letras maiúsculas de minúsculas. Verifique se o valor kind corresponde ao valor do payload de exemplo. Consulte o conteúdo de exemplo de quando você cria um guia estratégico.

      

Analisar os resultados em um arquivo JSON

1. No aplicativo lógico, na etapa em que você deseja adicionar uma variável, selecione Nova etapa.

2. Selecione Operações> de dadosAnalisar JSON.

   

3. Forneça estas informações sobre sua operação:

   1. Selecione Conteúdo e, emMatriz de filtro deconteúdo> dinâmico, selecione Corpo.

      

   2. Em Esquema, cole um esquema JSON para que você possa extrair valores de uma matriz. Copie o payload de exemplo que você gerou ao criar o playbook.

      

   3. Retorne ao manual e selecione Usar carga útil de amostra para gerar esquema.

      

   4. Cole o conteúdo. Adicione um colchete de abertura ([) no início do esquema e feche-os no final do esquema ].

      

      

   5. Selecione Concluído.

Usar os novos valores como conteúdo dinâmico para uso futuro

Agora você pode usar os valores criados como conteúdo dinâmico para outras ações. Por exemplo, se quiser enviar um email com dados do processo, você poderá encontrar a ação Analisar JSON em Conteúdo dinâmico, caso não tenha alterado o nome da ação.

Certifique-se de que seu playbook esteja salvo

Certifique-se de que o manual esteja salvo e agora você possa usá-lo para operações SOC.

Próximas etapas

Passe para o próximo artigo para aprender a criar e executar tarefas de incidentes no Microsoft Sentinel usando playbooks.