Skapa incidentuppgifter i Microsoft Sentinel med hjälp av automatiseringsregler

Den här artikeln beskriver hur du använder automatiseringsregler för att skapa listor över incidentuppgifter för att standardisera arbetsflödesprocesser för analytiker i Microsoft Sentinel.

Incidentuppgifter kan skapas automatiskt inte bara av automatiseringsregler, utan även av spelböcker, och även manuellt, ad hoc, inifrån en incident.

Användningsfall för olika roller

Den här artikeln beskriver följande scenarier som gäller för SOC-chefer, seniora analytiker och automationstekniker:

• Visa automatiseringsregler med incidentåtgärder
• Lägg till uppgifter till incidenter med automatiseringsregler

Scenariot med att lägga till uppgifter i incidenter med spelböcker behandlas i följande följeslagande artikel:

• Lägga till uppgifter i incidenter med spelböcker

Artikeln Work with tasks behandlar följande scenarier som gäller mer för SOC-analytiker:

• Visa och följ incidentuppgifter
• Lägga till en ad hoc-uppgift manuellt i en incident

Förhandskrav

Microsoft Sentinel Responder-rollen krävs för att skapa automatiseringsregler och för att visa och redigera incidenter, och båda krävs för att lägga till, visa och redigera uppgifter.

Visa automatiseringsregler med incidentåtgärder

På sidan Automation kan du filtrera vyn av automatiseringsregler för att endast se de som har definierat Lägg till aktivitetsåtgärder .

1. Välj filtret Åtgärder .

2. Avmarkera kryssrutan Markera alla .

3. Rulla nedåt och markera kryssrutan Lägg till uppgift .

4. Välj OK och visa resultatet.

   

   De filtrerade resultaten är automatiseringsreglerna som lägger till uppgifter till incidenter. Kolumnen Analytics-regelnamn anger vilka analysregler som dessa automatiseringsregler är villkorade för, så du får en allmän uppfattning om vilka incidenter som påverkas.

   Obs!

   Om du vill ha exakt kunskap om huruvida en automatiseringsregel gäller för en viss incident måste du öppna regeln för att se om några ytterligare villkor har definierats, förutom villkoret för analysregeln. Om andra villkor definieras begränsas omfattningen av de berörda incidenterna.

Lägg till uppgifter i incidenter med automatiseringsregler

Utför följande steg för att lägga till uppgifter i incidenter genom att använda en automatiseringsregel:

1. På sidan Automation väljer du + Skapa och väljer Automation-regel.

2. Panelen Skapa ny automatiseringsregel öppnas till höger.
   Ge automationsregeln ett namn som beskriver vad den gör.

3. Välj När incidenten skapas som utlösare (du kan också använda När incidenten uppdateras).

4. Lägg till Villkor för att avgöra vilka incidenter som nya aktiviteter ska läggas till i.

   Filtrera till exempel efter Analytics-regelnamn:

   • Du kanske vill lägga till uppgifter i incidenter baserat på de typer av hot som identifieras av en analysregel eller en grupp analysregler som måste hanteras enligt ett visst arbetsflöde. Sök efter och välj relevanta analysregler i listrutan.

   • Eller så kanske du vill lägga till uppgifter som är relevanta för incidenter över alla typer av hot (i det här fallet lämnar du standardvalet Alla som det är).

   Oavsett om du väljer specifika analysregler eller låter Alla vara markerade kan du lägga till fler villkor för att begränsa omfattningen av incidenter som automatiseringsregeln ska gälla för. Läs mer om att lägga till avancerade villkor i automatiseringsregler.

   En sak du måste tänka på är att ordningen i vilken uppgifter visas i incidenten bestäms av tidpunkten då aktiviteterna skapades. Du kan ange ordningen för automatiseringsregler så att regler som lägger till uppgifter som krävs för alla incidenter körs först och först efteråt eventuella regler som lägger till uppgifter som krävs för incidenter som genereras av specifika analysregler.

   

5. Under Åtgärder väljer du Lägg till aktivitet.

   

6. För varje aktivitet anger du en rubrik i fältet Aktivitetsrubrik och väljer sedan +Lägg till beskrivning för att öppna ett beskrivningsfält.
   Endast aktivitetsrubriker visas som standard i incidentens aktivitetslistpanel. En aktivitets beskrivning visas bara när aktivitetsobjektet expanderas.

   

7. I beskrivningsfältet kan du lägga till en fri formulärbeskrivning för uppgiften, inklusive bilder, länkar och RTF-formatering (se hyperlänkar, numrerade listor och kodblocksformaterad text i exemplen nedan).

   

8. Lägg till fler uppgifter i samma grupp med incidenter genom att välja + Lägg till åtgärd och upprepa de tre sista stegen.

   Aktiviteter skapas och läggs till i incidenten i enlighet med ordningen för lägg till aktivitetsåtgärder i automatiseringsregeln.

   

9. Slutför skapandet av automatiseringsregeln genom att slutföra de återstående stegen, Förfallodatum för regel och Order, och välj Använd i slutet. Mer information finns i Skapa och använda Microsoft Sentinel automationsregler för att hantera svar.

   När det gäller orderinställningen : I vilken ordning aktiviteterna visas i dina incidenter beror på två saker:

   1. Ordningen i vilken automatiseringsreglerna körs, vilket bestäms av numret i inställningen Order, och...
   2. Ordningen på åtgärderna Lägg till uppgift inom varje automatiseringsregel.

Relaterat innehåll

• Använd uppgifter för att hantera incidenter i Microsoft Sentinel i Azure-portalen
• Utreda incidenter med Microsoft Sentinel (legacy)
• Skapa och utföra incidentuppgifter i Microsoft Sentinel med hjälp av spelböcker
• Arbeta med incidentuppgifter i Microsoft Sentinel i Azure-portalen.
• Automatisera hotsvar i Microsoft Sentinel med automatiseringsregler
• Skapa och använd Microsoft Sentinel automationsregler för att hantera svar.