Crie seus próprios incidentes manualmente no Microsoft Sentinel no portal do Azure

Com o Microsoft Sentinel como sua solução de gerenciamento de eventos e informações de segurança (SIEM), as atividades de detecção e resposta a ameaças de suas operações de segurança estão centradas em incidentes que você investiga e corrige. Esses incidentes têm duas fontes principais:

• Eles são gerados automaticamente quando os mecanismos de detecção atuam sobre os logs e alertas que o Microsoft Sentinel ingere de fontes de dados conectadas.

• Eles são ingeridos diretamente de outros serviços de segurança da Microsoft conectados (como o Microsoft Defender XDR) que os criaram.

No entanto, os dados de ameaças também podem vir de outras fontes não ingeridas no Microsoft Sentinel ou de eventos não registrados em nenhum log e, ainda assim, podem justificar a abertura de uma investigação. Por exemplo, um funcionário pode notar uma pessoa não reconhecida envolvida em atividades suspeitas relacionadas aos ativos de informação da sua organização. Esse funcionário pode ligar ou enviar um email para o SOC (centro de operações de segurança) para relatar a atividade.

O Microsoft Sentinel no portal do Azure permite que seus analistas de segurança criem incidentes manualmente para qualquer tipo de evento, independentemente de sua origem ou dados, para que você não perca a oportunidade de investigar esses tipos incomuns de ameaças.

Casos de uso comuns

Criar um incidente para um evento relatado

Use esta opção quando um usuário, funcionário ou analista relatar atividade suspeita não ingerida como telemetria no Microsoft Sentinel. Por exemplo, um funcionário pode observar uma pessoa não reconhecida se envolvendo em atividades suspeitas relacionadas aos ativos de informações da sua organização e denunciá-la ao SOC (Centro de Operações de Segurança) por telefone ou email.

Criar incidentes a partir de eventos de sistemas externos

Crie incidentes com base em eventos de sistemas cujos logs não são ingeridos no Microsoft Sentinel. Por exemplo, uma campanha de phishing baseada em SMS pode usar a identidade visual e os temas corporativos da sua organização para segmentar os dispositivos móveis pessoais dos funcionários. Talvez você queira investigar esse ataque e pode criar um incidente no Microsoft Sentinel para ter uma plataforma para gerenciar sua investigação, coletar e registrar evidências e registrar suas ações de resposta e mitigação.

Criar incidentes com base nos resultados da caça

Crie incidentes com base nos resultados observados das atividades de busca. Por exemplo, durante a busca por ameaças no contexto de uma investigação específica (ou por conta própria), você pode encontrar evidências de uma ameaça completamente não relacionada que justifique sua própria investigação separada.

Criar um incidente manualmente

Há três maneiras de criar um incidente manualmente:

• Criar um incidente usando o portal do Azure
• Criar um incidente usando Aplicativos Lógicos do Azure, usando o gatilho de Incidente do Microsoft Sentinel.
• Crie um incidente usando a API do Microsoft Sentinel, por meio do grupo de operações Incidentes. O grupo de operações de Incidentes permite que você obtenha, crie, atualize e exclua incidentes.

Após a integração do Microsoft Sentinel no portal do Microsoft Defender, os incidentes criados manualmente não são sincronizados com o portal do Defender, embora ainda possam ser exibidos e gerenciados no Microsoft Sentinel no portal do Azure e por meio de Aplicativos Lógicos e da API.

Permissões

As funções e permissões a seguir são necessárias para criar manualmente um incidente.

Saiba mais sobre Microsoft Sentinel funções e permissões.

Criar um incidente usando o portal do Azure

Para criar manualmente um incidente no portal Azure, siga estas etapas:

1. Selecione o Microsoft Sentinel e escolha seu workspace.

2. No menu de navegação do Microsoft Sentinel, selecione Incidentes.

3. Na página Incidentes , selecione + Criar incidente (Versão prévia) na barra de botões.

   

   O painel Criar incidente (Versão prévia) será aberto no lado direito da tela.

   

4. Preencha os campos no painel conforme indicado.

   • Título

     • Insira um título de sua escolha para o incidente. O incidente aparecerá na fila com este título.
     • Obrigatório. Texto livre com comprimento ilimitado. Os espaços serão cortados.

   • Descrição

     • Insira informações descritivas sobre o incidente, incluindo detalhes como a origem do incidente, quaisquer entidades envolvidas, relação com outros eventos, quem foi informado e assim por diante.
     • Opcional. Texto livre de até 5.000 caracteres.

   • Gravidade

     • Escolha um nível de severidade na lista suspensa. Todas as severidades suportadas pelo Microsoft Sentinel estão disponíveis.
     • Obrigatório. O padrão é "Médio".

   • Status

     • Escolha um status na lista suspensa. Todos os status com suporte do Microsoft Sentinel estão disponíveis.
     • Obrigatório. O valor padrão é "Novo".
     • Você pode criar um incidente com um status de "fechado" e, em seguida, abri-lo manualmente para fazer alterações e escolher um status diferente. Escolher "fechado" na lista suspensa ativará os campos motivo de classificação para você escolher um motivo para fechar o incidente e adicionar comentários.

   • Proprietário

     • Escolha entre os usuários ou grupos disponíveis em seu locatário. Comece a digitar um nome para pesquisar usuários e grupos. Selecione o campo (clique ou toque) para exibir uma lista de sugestões. Escolha "atribuir a mim" no topo da lista para atribuir o incidente a si mesmo.
     • Opcional.

   • Tags

     • Use etiquetas para classificar incidentes e filtrá-los e localizá-los na fila.
     • Crie marcas selecionando o ícone de sinal de adição, inserindo texto na caixa de diálogo e selecionando OK. O preenchimento automático sugerirá marcas usadas no espaço de trabalho nas duas semanas anteriores.
     • Opcional. Texto livre.

5. Selecione Criar na parte inferior do painel. Após alguns segundos, o incidente será criado e aparecerá na fila de incidentes.

   Se você atribuir a um incidente um status de "Fechado", ele não aparecerá na fila até que você altere o filtro de status para mostrar incidentes fechados também. O filtro é definido por padrão para exibir apenas incidentes com um status de "Novo" ou "Ativo".

Selecione o incidente na fila para ver todos os detalhes, adicionar marcadores, alterar seu proprietário e status e muito mais.

Se por algum motivo você mudar de ideia após o fato de criar o incidente, poderá excluir o incidente da grade de fila ou no próprio incidente. Você deve ter a função Colaborador do Microsoft Sentinel para excluir um incidente.

Criar um incidente usando Aplicativos Lógicos do Azure

A criação de um incidente também está disponível como ação do Logic Apps no conector do Microsoft Sentinel e, portanto, nos playbooks do Microsoft Sentinel.

Você pode encontrar a ação Criar incidente (versão prévia) no esquema de guia estratégico para o gatilho de incidente.

Você precisa fornecer parâmetros conforme descrito abaixo:

• Selecione a Assinatura, o grupo de recursos e o nome do espaço de trabalho nos respectivos menus suspensos.

• Para os campos restantes, consulte as explicações de campo em Criar um incidente usando o portal Azure.

  

O Microsoft Sentinel fornece alguns exemplos de modelos de guia estratégico que mostram como trabalhar com esse recurso:

• Criar incidente com o Microsoft Form
• Criar incidente a partir da caixa de entrada de email compartilhada

Você pode encontrá-los na galeria de modelos de guia estratégico na página Automação do Microsoft Sentinel.

Criar um incidente usando a API do Microsoft Sentinel

O grupo de operações Incidentes permite que você não apenas crie, mas também atualize um incidente, recupere um incidente, liste incidentes e exclua um incidente.

Para criar ou atualizar um incidente Microsoft Sentinel por meio da API REST, envie uma solicitação PUT para o ponto de extremidade a seguir. Se a ID do incidente especificada ainda não existir, a API criará um novo incidente. Depois que a solicitação for concluída com êxito, o incidente ficará visível na fila de incidentes no portal.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

O exemplo a seguir mostra um corpo de solicitação JSON que cria um incidente com propriedades como título, descrição, gravidade, proprietário, status e classificação:

{
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "IncorrectAlertLogic",
    "status": "Closed"
  }
}

Observações

Tenha em mente as seguintes limitações e comportamentos para incidentes criados manualmente:

• Incidentes criados manualmente não contêm entidades ou alertas. Portanto, a guia Alertas na página de incidentes permanecerá vazia até que você relacione os alertas existentes ao seu incidente.

  A guia Entidades também permanecerá vazia, pois não há suporte para a adição de entidades diretamente a incidentes criados manualmente no momento. (Se você relacionar um alerta a esse incidente, as entidades do alerta aparecerão no incidente.)

• Os incidentes criados manualmente também não exibirão nenhum nome de produto na fila.

• A fila de incidentes é filtrada por padrão para exibir apenas incidentes com um status de "Novo" ou "Ativo". Se você criar um incidente com um status de "Fechado", ele não aparecerá na fila até que você altere o filtro de status para mostrar incidentes fechados também.

Próximas etapas

Para saber mais, confira:

• Relacionar alertas a incidentes no Microsoft Sentinel
• Excluir incidentes no Microsoft Sentinel
• Navegar, fazer a triagem e gerenciar incidentes do Microsoft Sentinel
• Investigue os incidentes do Microsoft Sentinel em profundidade