Automatizar respostas de remediação no Microsoft Defender para a Cloud

Todos os programas de segurança incluem vários fluxos de trabalho para resposta a incidentes. Esses processos podem incluir a notificação das partes interessadas relevantes, o início de um processo de gerenciamento de alterações e a aplicação de etapas específicas de correção.

Os especialistas em segurança recomendam que você automatize o maior número possível de etapas de procedimentos de segurança. A automação reduz as despesas gerais. Ele também pode melhorar sua segurança, garantindo que as etapas do processo sejam feitas de forma rápida, consistente e de acordo com seus requisitos predefinidos.

Este artigo descreve o recurso de automação de fluxo de trabalho do Microsoft Defender para a Cloud. A funcionalidade de automação de fluxos de trabalho pode ativar aplicações de lógica de consumo em alertas de segurança, recomendações e alterações na conformidade regulatória. Por exemplo, talvez você queira que o Defender para a Cloud envie um e-mail para um usuário específico quando ocorrer um alerta. Você também aprenderá a criar aplicativos lógicos usando os Aplicativos Lógicos do Azure.

Pré-requisitos

Antes de começar:

• Você precisa ter a função de administrador de segurança ou Proprietário no grupo de recursos.

• Você deve ter permissões de gravação para o recurso de destino.

• Para trabalhar com fluxos de trabalho de Aplicativos Lógicos do Azure, você deve ter as seguintes funções ou permissões de Aplicativos Lógicos:

  • As permissões de Operador do Aplicativo Lógico são necessárias, ou então é necessário ter acesso de leitura ou de acionamento ao Aplicativo Lógico. Os usuários com essa função não podem criar ou editar aplicativos lógicos. Eles só podem executar os existentes.
  • As permissões de Colaborador do Aplicativo Lógico são necessárias para a criação e modificação do aplicativo lógico.

• Se você quiser usar conectores de aplicativos lógicos, talvez precise de outras credenciais para entrar em seus respetivos serviços (por exemplo, suas instâncias do Outlook, Teams ou Slack).

Criar um aplicativo lógico e definir quando ele deve ser executado automaticamente

Siga estes passos:

1. Na barra lateral do Defender para a Cloud, selecione Automação do fluxo de trabalho.

   

2. Nesta página, você pode criar novas regras de automação ou ativar, desabilitar ou excluir as existentes. Um escopo refere-se à subscrição onde a automação do fluxo de trabalho é implementada.

3. Para definir um novo fluxo de trabalho, selecione Adicionar automação de fluxo de trabalho. O painel de opções para sua nova automação é aberto.

   

4. Insira o seguinte:

   • Um nome e uma descrição para a automação.
   • Os gatilhos que iniciam esse fluxo de trabalho automático. Por exemplo, talvez você queira que seu aplicativo lógico seja executado quando for gerado um alerta de segurança que contenha a frase SQL.

5. Especifique o aplicativo de lógica de consumo que será executado quando as condições de gatilho forem atendidas.

6. Na seção Ações , selecione visitar a página Aplicativos lógicos para iniciar o processo de criação de um aplicativo lógico.

   

   Selecionar visitar a página Logic Apps abre o Azure Logic Apps.

7. Selecione (+) Adicionar.

8. Preencha todos os campos obrigatórios e selecione Rever + Criar.

   

   A mensagem Implantação está em andamento é exibida. Aguarde até que a notificação Implantação concluída apareça e selecione Ir para recurso.

9. Reveja as informações que introduziu e, em seguida, selecione Criar.

   Em seu novo aplicativo lógico, você pode escolher entre modelos internos predefinidos da categoria de segurança. Ou pode definir um fluxo personalizado de eventos que ocorrem quando a automação do fluxo de trabalho é executada.

   Tip

   Às vezes, os parâmetros são incluídos em um aplicativo lógico no conector como parte de uma cadeia de caracteres e não em seu próprio campo. Para obter um exemplo de como extrair parâmetros, consulte a etapa 14 de Trabalhando com parâmetros de aplicativo lógico ao criar automações de fluxo de trabalho do Microsoft Defender para a Cloud.

Gatilhos suportados

O designer de aplicativo lógico suporta os seguintes gatilhos do Defender para a Cloud:

• Quando uma recomendação do Microsoft Defender para a Cloud é criada ou acionada: se seu aplicativo lógico depender de uma recomendação que é preterida ou substituída, sua automação para de funcionar e você precisa atualizar o gatilho. Para controlar as alterações nas recomendações, use as notas de versão.

• Quando um alerta do Defender para a Cloud é criado ou acionado: você pode personalizar o gatilho para que ele se relacione apenas a alertas com os níveis de gravidade que lhe interessam.

• Quando uma avaliação de conformidade regulatória do Defender para a Cloud é criada ou acionada: você deseja acionar automações com base em atualizações para avaliações de conformidade regulatória.

1. Depois de definir seu aplicativo lógico, retorne ao painel Adicionar automação do fluxo de trabalho .

2. Selecione Atualizar para garantir que seu novo aplicativo lógico esteja disponível para seleção.

3. Selecione seu aplicativo lógico e salve a automação. O menu suspenso mostra apenas aplicativos lógicos que têm conectores compatíveis com o Defender para a Cloud.

Acionar manualmente um aplicativo lógico

Também pode executar manualmente aplicações lógicas quando visualiza qualquer alerta ou recomendação de segurança.

Para executar manualmente um aplicativo lógico, abra um alerta ou uma recomendação e selecione Aplicativo lógico de gatilho.

Configurar a automação do fluxo de trabalho em escala

Quando você automatiza os processos de monitoramento e resposta a incidentes da sua organização, o tempo necessário para investigar e mitigar incidentes de segurança pode melhorar consideravelmente.

Para implementar as suas configurações de automação por toda a organização, utilize as políticas Azure Policy DeployIfNotExist fornecidas descritas na tabela seguinte. O DeployIfNotExist efeito da política implementa automaticamente os recursos necessários quando ainda não existem, permitindo-lhe criar e configurar procedimentos de automação de fluxos de trabalho em grande escala.

Comece a usar modelos automatização de fluxo de trabalho.

Para implementar estas políticas:

1. Na tabela a seguir, selecione a política que deseja aplicar:

   Goal	Policy	ID da Política
   Automação do fluxo de trabalho para alertas de segurança	Implementar a automatização do fluxo de trabalho para alertas do Microsoft Defender para a Cloud	f1525828-9a90-4fcf-be48-268cdd02361e
   Automação do fluxo de trabalho para recomendações de segurança	Implementar a automatização do fluxo de trabalho para as recomendações do Microsoft Defender para a Cloud	73d6ab6c-2475-4850-afd6-43795f3492ef
   Automação do fluxo de trabalho para alterações de conformidade regulatória	Implementar a automatização do fluxo de trabalho para conformidade regulamentar no Microsoft Defender para a Cloud	509122b9-ddd9-47ba-a5f1-d0dac20be63c

   Você também pode encontrar políticas pesquisando Política do Azure. No Azure Policy, selecione Definições e depois procure as políticas por nome.

2. Na página Política do Azure relevante, selecione Atribuir.

   

3. Na guia Noções básicas , defina o escopo da política. Para usar o gerenciamento centralizado, atribua a política ao Grupo de Gerenciamento que contém as assinaturas que usam a configuração de automação do fluxo de trabalho.

4. Na guia Parâmetros , insira as informações necessárias.

   

5. (Opcional) Aplique essa atribuição a uma assinatura existente na guia Correção e selecione a opção para criar uma tarefa de correção.

6. Reveja a página de resumo e, em seguida, selecione Criar.

Esquemas de tipos de dados para automação de fluxos de trabalho

Para exibir os esquemas de eventos brutos dos alertas de segurança ou eventos de recomendações que são passados para o aplicativo lógico, vá para os esquemas de tipos de dados para automação do fluxo de trabalho. Visualizar os esquemas brutos de eventos pode ser útil quando não está a usar os conectores integrados do Defender para a Cloud Logic Apps e sim o conector HTTP genérico. Você pode usar o esquema JSON de evento para analisá-lo manualmente como achar melhor.

Conteúdo relacionado

• Use a automação do fluxo de trabalho para automatizar uma resposta de segurança
• Recomendações de segurança no Microsoft Defender para a Cloud
• Alertas de segurança no Microsoft Defender para a Cloud