Criar e personalizar playbooks do Microsoft Sentinel a partir de modelos

Um modelo de manual de procedimentos é um fluxo de trabalho de automatização pré-criado, testado e pronto a utilizar para Microsoft Sentinel que pode ser personalizado de acordo com as suas necessidades. Os modelos também podem servir de referência para melhores práticas ao desenvolver playbooks do zero ou como inspiração para novos cenários de automação.

Os modelos de guia estratégico não são guias estratégicos ativos e você deve criar uma cópia editável para suas necessidades.

Muitos modelos de manuais de procedimentos são desenvolvidos pela comunidade Microsoft Sentinel, fornecedores independentes de software (ISVs) e pelos próprios especialistas da Microsoft, com base em cenários de automatização populares utilizados por centros de operações de segurança em todo o mundo.

Pré-requisitos

Para criar e gerir manuais de procedimentos, precisa de aceder a Microsoft Sentinel com uma das seguintes funções de Azure:

• Colaborador de Aplicativo Lógico, para editar e gerenciar aplicativos lógicos
• Operador da Aplicação Lógica, para ler, ativar e desativar aplicações lógicas

Para obter mais informações, consulte pré-requisitos do playbook do Microsoft Sentinel.

Recomendamos que você leia os Guias estratégicos do Aplicativos Lógicos do Azure para Microsoft Sentinel antes de criar seu manual.

Modelos de manual de procedimentos do Access

Aceda a modelos de manuais de procedimentos a partir das seguintes origens:

Tecnicamente, um modelo de manual de procedimentos é um modelo de Azure Resource Manager (ARM), que consiste em vários recursos: um fluxo de trabalho do Aplicativos Lógicos do Azure e ligações de API para cada ligação envolvida.

O procedimento a seguir foca na implantação de um modelo de playbook a partir da aba de modelos de Playbook em Automação.

Explorar modelos de guia estratégico

No Microsoft Sentinel no portal do Azure, selecione a página Gerenciamento de conteúdo>Hub de conteúdo. Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Content management>Hub de conteúdos.

Na página Hub de conteúdo, selecione Tipo de conteúdo para filtrar por Playbook. A página do hub de conteúdo filtrado lista todas as soluções e conteúdos independentes que incluem um ou mais modelos de playbook. Instale a solução ou conteúdo autónomo para obter o modelo.

Para visualizar os modelos instalados, selecione a guia Configuração>Automação>Templates de playbook. Por exemplo:

Para localizar um modelo de manual de procedimentos que se adeque aos seus requisitos, filtre a lista pelos seguintes critérios:

Por exemplo:

Personalizar um manual de procedimentos a partir de um modelo

As etapas a seguir descrevem como implantar modelos de playbook e podem ser repetidas para criar múltiplos playbooks a partir do mesmo modelo.

Embora a maioria dos modelos de guia estratégico possa ser usada como estão, recomendamos que você os ajuste conforme necessário para ajustar seu guia estratégico às suas necessidades do SOC.

1. No separador Modelos de manual de procedimentos , selecione um manual de procedimentos a partir do que começar.

2. Se o manual de procedimentos tiver pré-requisitos, certifique-se de que segue as instruções. Por exemplo:

   • Alguns guias estratégicos chamam outros guias estratégicos como ações. O playbook chamado é chamado de playbook aninhado. Nesse caso, um dos pré-requisitos é implantar primeiro o guia estratégico aninhado.

   • Alguns guias estratégicos exigem a implantação de um conector personalizado dos Aplicativos Lógicos ou de uma Função do Azure. Nesses casos, há um link Implantar no Azure que leva você ao processo geral de implantação de modelo do ARM.

3. Selecione Criar manual de procedimentos para abrir o assistente de criação de manuais de procedimentos com base no modelo selecionado. O assistente tem quatro guias:

   • Noções básicas: Localize o seu novo manual de procedimentos, que é um recurso do Logic Apps, e atribua-lhe um nome. Pode utilizar a predefinição. Por exemplo:

     

   • Parâmetros: Introduza os valores específicos do cliente que o manual de procedimentos utiliza. Por exemplo, se o manual de procedimentos enviar um e-mail para o SOC, defina o endereço do destinatário. Se o playbook tiver um conector personalizado em uso, ele deverá ser implantado no mesmo grupo de recursos, e será solicitado que você informe o nome dele na guia Parâmetros.

     A guia Parâmetros será exibida somente se o guia estratégico tiver parâmetros. Por exemplo:

     

   • Conexões: Expanda cada ação para ver as conexões existentes que você criou para playbooks anteriores. Pode optar por utilizar ligações existentes ou criar uma nova. Por exemplo:

     

     • Para criar uma nova ligação, selecione Criar nova ligação após a implementação. A opção Criar nova conexão após a implantação leva você ao designer de Logic Apps após a conclusão do processo de implantação.

     • Os conectores personalizados são listados pelo nome do conector personalizado introduzido no separador Parâmetros .

     • Para conectores que suportam a ligação com a identidade gerida, como Microsoft Sentinel, a identidade gerida é o método de ligação predefinido.

     Para obter mais informações, confira Autenticar guias estratégicos no Microsoft Sentinel.

   • Revisar e criar: Veja um resumo do processo e aguarde a validação das informações fornecidas antes de criar o playbook.

4. Depois de seguir as etapas do assistente de criação de guia estratégico até o fim, você será levado ao design do fluxo de trabalho do novo guia estratégico no designer do Aplicativos Lógicos. Por exemplo:

   

5. Para cada conector para o qual você selecionou Criar nova conexão após a implantação, crie a conexão:

   1. No menu de navegação, selecione Ligações de API e, em seguida, selecione o nome da ligação. Por exemplo:

      

   2. Selecione Editar ligação à API no menu de navegação.

   3. Preencha os parâmetros necessários e selecione Guardar. Por exemplo:

      

   Em alternativa, crie uma nova ligação a partir dos passos relevantes no estruturador do Logic Apps:

   1. Para cada passo apresentado com um sinal de erro, selecione-o para expandir e, em seguida, selecione Adicionar novo.

   2. Autentique de acordo com as instruções relevantes. Para obter mais informações, confira Autenticar guias estratégicos no Microsoft Sentinel.

   3. Se houver outras etapas usando esse mesmo conector, expanda suas caixas. Na lista de ligações apresentada, selecione a ligação que acabou de criar.

6. Se optou por utilizar uma ligação de identidade gerida para Microsoft Sentinel ou para outras ligações suportadas, confirme que concede permissões ao novo manual de procedimentos na área de trabalho Microsoft Sentinel ou nos recursos de destino relevantes para outros conectores.

7. Guarde o manual de procedimentos. O manual aparece na guia Guias estratégicos ativos.

Para executar o manual de procedimentos, defina uma resposta automatizada ou execute-a manualmente. Para obter mais informações, veja Responder a ameaças com os manuais do Microsoft Sentinel.

Comunicar um problema num modelo de manual de procedimentos

Para comunicar um erro ou pedir uma melhoria para um manual de procedimentos, selecione a ligação Suportado por no painel de detalhes do manual de procedimentos. Se o playbook tiver suporte da comunidade, o link levará você a abrir uma issue no GitHub. Caso contrário, será direcionado para a página do apoiante, com informações sobre como enviar o seu feedback.

Conteúdo relacionado

• Automatize a resposta a ameaças com playbooks do Microsoft Sentinel
• Modelos de manual de procedimentos recomendados
• Automatizar e executar guias estratégicos do Microsoft Sentinel