Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo descreve um cenário de exemplo de como você pode usar um guia estratégico e uma regra de automação para automatizar a resposta a incidentes e corrigir ameaças à segurança. As regras de automação ajudam a fazer a triagem de incidentes no Microsoft Sentinel e também são usadas para executar guias estratégicos em resposta a incidentes ou alertas. Para obter mais informações, consulte Automação no Microsoft Sentinel: Orquestração, automação e resposta de segurança (SOAR).
O cenário de exemplo descrito neste artigo descreve como usar uma regra de automação e um guia estratégico para interromper um usuário potencialmente comprometido quando um incidente é criado.
Observação
Como os playbooks fazem uso do Aplicativos Lógicos do Azure, pode haver cobrança adicional. Visite a página de preços dos Aplicativos Lógicos do Azure para obter mais detalhes.
Importante
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.
Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.
Pré-requisitos
As funções a seguir são necessárias para usar os Aplicativos Lógicos do Azure para criar e executar guias estratégicos no Microsoft Sentinel.
| Função | Descrição |
|---|---|
| Proprietário | Permite conceder acesso aos playbooks no grupo de recursos. |
| Colaborador do Microsoft Sentinel | Permite anexar um guia estratégico a uma regra de análise ou automação. |
| Respondente do Microsoft Sentinel | Permite que você acesse um incidente para executar manualmente um guia estratégico, mas não permite que você execute o manual. |
| Operador do Guia Estratégico do Microsoft Sentinel | Permite que você execute um guia estratégico manualmente. |
| Colaborador de Automação do Microsoft Sentinel | Permite que as regras de automação executem guias estratégicos. Essa função não é usada para nenhuma outra finalidade. |
A tabela a seguir descreve as funções necessárias com base em se você seleciona um aplicativo lógico de Consumo ou Standard para criar seu guia estratégico:
| Aplicativo de lógica | Funções do Azure | Descrição |
|---|---|---|
| Consumo | Colaborador do Aplicativo Lógico | Editar e gerenciar aplicativos lógicos. Execute guias estratégicos. Não permite conceder acesso aos playbooks. |
| Consumo | Operador de Aplicativo Lógico | Ler, habilitar e desabilitar aplicativos lógicos. Não permite editar ou atualizar aplicativos lógicos. |
| Standard | Operador Standard de Aplicativos Lógicos | Habilite, reenvie e desative fluxos de trabalho em um aplicativo de lógica. |
| Standard | Logic Apps Standard Developer | Crie e edite aplicativos lógicos. |
| Standard | Colaborador do Logic Apps Standard | Gerenciar todos os aspectos de um aplicativo lógico. |
A guia Guias estratégicos ativos na página Automação exibe todos os guias estratégicos ativos disponíveis em todas as assinaturas selecionadas. Por padrão, um guia estratégico só pode ser usado na assinatura à qual ele pertence, a menos que você conceda especificamente permissões do Microsoft Sentinel ao grupo de recursos do guia estratégico.
Permissões extras necessárias para executar guias estratégicos sobre incidentes
O Microsoft Sentinel usa uma conta de serviço para executar guias estratégicos sobre incidentes, adicionar segurança e habilitar a API de regras de automação para dar suporte a casos de uso de CI/CD. Essa conta de serviço é usada para playbooks acionados por incidentes ou quando você executa um playbook manualmente para um incidente específico.
Além de suas próprias funções e permissões, esta conta de serviço do Microsoft Sentinel deve ter seu próprio conjunto de permissões no grupo de recursos em que o playbook reside, na forma da função Colaborador de Automação do Microsoft Sentinel. Depois que o Microsoft Sentinel tiver essa função, ele poderá executar qualquer guia estratégico no grupo de recursos relevante, manualmente ou por meio de uma regra de automação.
Para conceder ao Microsoft Sentinel as permissões necessárias, você deve ter a função de Proprietário ou Administrador de acesso do usuário. Para executar os guias estratégicos, você também precisará da função Colaborador do Aplicativo Lógico no grupo de recursos que contém os guias estratégicos que você deseja executar.
Impedir usuários potencialmente comprometidos
As equipes SOC querem garantir que usuários potencialmente comprometidos não possam se mover pela rede e roubar informações. Recomendamos que você crie uma resposta automatizada e multifacetada a incidentes gerados por regras que detectam usuários comprometidos para lidar com esses cenários.
Configure a regra de automação e o guia estratégico para usar o seguinte fluxo:
Um incidente é criado para um usuário potencialmente comprometido, e uma regra de automação é acionada para chamar seu playbook.
O playbook abre um ticket no seu sistema de gerenciamento de tickets de TI, como o ServiceNow.
O manual também envia uma mensagem ao canal de operações de segurança no Microsoft Teams ou no Slack para garantir que os analistas de segurança estejam cientes do incidente.
O guia estratégico também envia todas as informações do incidente em uma mensagem de email para o administrador de rede sênior e o administrador de segurança. A mensagem de email inclui os botões de opção Bloquear e Ignorar usuário.
O manual aguarda até que uma resposta seja recebida dos administradores e continua com suas próximas etapas.
Se os administradores escolherem Bloquear, o guia estratégico enviará um comando ao Microsoft Entra ID para desabilitar o usuário e um comando ao firewall para bloquear o endereço IP.
Se os administradores escolherem Ignorar, o guia estratégico fechará o incidente no Microsoft Sentinel e o tíquete no ServiceNow.
A captura de tela a seguir mostra as ações e condições que você adicionaria na criação deste guia estratégico de exemplo:
