Distribuera innehåll som kod från ditt repository för en ISOC-arbetsyta (förhandsgranskning)

Använd arkiv med Integrated Security Operations Center (ISOC) i Microsoft Defender för att hantera och distribuera anpassat säkerhetsinnehåll till din ISOC-arbetsyta genom att använda CI/CD.

Du kan hantera innehåll från Microsoft Defender-portalen eller ett externt GitHub- eller Azure DevOps-arkiv. Att hantera innehåll i ett externt arkiv låter dig uppdatera innehåll utanför Microsoft Defender och automatiskt distribuera dessa uppdateringar till ditt ISOC-arbetsområde.

CI/CD-upplevelsen och de stödda innehållstyperna för en ISOC-arbetsyta är desamma som den befintliga Microsoft Sentinel-arkivupplevelsen.

Förutsättningar

Kontrollera att följande krav är uppfyllda innan du börjar:

• Din hyresgäst är berättigad till ISOC.
• Du har en ISOC-arbetsyta i en resursgrupp där du har rollen Ägare .
• Du har rollen Global Administrator i Microsoft Entra ID för den initiala CI/CD-uppsättningen.
• Anpassade innehållsfiler som du vill distribuera till din arbetsplats finns i ett stödjande format. Information om format som stöds finns i Planera lagringsplatsens innehåll.
• Det konto som du använder för att skapa anslutningen finns i din hemklientorganisation. Externa identiteter som B2B-gästkonton och delegerad åtkomst stöds inte.
• (Endast anpassade detekteringsregler) Du har en Microsoft 365 E5-licens eller en motsvarande licens som inkluderar Microsoft Defender XDR. Mer information finns i Distribuera anpassade identifieringsregler som kod.

GitHub-förkunskaper

Innan du ansluter till GitHub, se till att:

• Du har Collaborator-åtkomst till ditt GitHub-arkiv.
• GitHub Actions är aktiverat.

Krav för Azure DevOps

Innan du ansluter till Azure DevOps, se till att:

• Du har Project Administrator-åtkomst till ditt Azure DevOps-arkiv.
• Tredjepartsapplikationsåtkomst via OAuth är aktiverad för Azure DevOps-applikationsanslutningspolicys.
• Din Azure DevOps-anslutning finns i samma tenant som din ISOC-arbetsyta.

För mer information om distribuerbara innehållstyper, se Planera ditt repositoryinnehåll.

Ansluta en lagringsplats

Använd denna procedur för att koppla ett GitHub- eller Azure DevOps-repository till din ISOC-arbetsyta.

Varje anslutning kan stödja flera typer av anpassat innehåll, inklusive analysregler, automationsregler, anpassade detektionsregler, jaktfrågor, parsers, playbooks och arbetsböcker. Mer information finns i Om Microsoft Sentinel-innehåll och -lösningar.

Du kan inte skapa dubblettanslutningar med samma repository och branch i en enda ISOC-arbetsyta.

1. Logga in på Microsoft Defender-portalen.

2. Se till att du är inloggad på din versionshanteringsapplikation med de uppgifter du vill använda för anslutningen.

3. I Defender-portalen, välj Microsoft Sentinel>Content Management>Repositories.

4. Välj Lägg till.

5. På sidan Skapa ny distributionsanslutning , ange ett namn för anslutningen.

6. Ange en beskrivning av anslutningen.

7. Från Versionshantering, välj den typ av lagringsplats du vill ansluta till.

8. Välj Auktorisera.

9. Genomför stegen för din leverantör av källkodskontroll:

   • GitHub
   • Azure DevOps

   1. Ange dina GitHub-autentiseringsuppgifter när du uppmanas att göra det.

      Första gången du lägger till en anslutning uppmanas du att auktorisera anslutningen till Microsoft Sentinel. Om du redan är inloggad på ditt GitHub-konto i samma webbläsare fylls dina GitHub-uppgifter automatiskt i.

   2. I Repository, välj det repository du vill koppla åt.

   3. Välj Lägg till lagringsplats.

      Första gången du ansluter till ett repository öppnas ett nytt webbläsarfönster eller en ny flik och ber dig installera Azure-Sentinel-appen.

   4. I GitHub, välj det arkiv där du vill installera Azure-Sentinel-appen.

   5. Installera Azure-Sentinel-appen.

   6. Gå tillbaka till sidan Skapa ny distributionsanslutning .

   7. Från Branch väljer du den branch du vill koppla till din ISOC-arbetsyta.

   8. Från Content Types väljer du det innehåll du vill distribuera.

      Både parsers och jaktfrågor använder Saved Searches API för att distribuera innehåll. Om du väljer en av dessa innehållstyper och din gren innehåller den andra typen, distribueras båda innehållstyperna.

      För andra innehållstyper distribueras endast de innehållstyper du väljer ut.

   9. Välj Skapa.

      Ett exempel:

      

När du har skapat anslutningen genereras ett nytt arbetsflöde eller en ny pipeline i lagringsplatsen. Innehållet som lagras i ditt repository distribueras till din ISOC-arbetsyta.

Tiden för distribution kan variera beroende på hur mycket innehåll du distribuerar.

Visa distributionsstatus

För att se driftsättningsstatusen i GitHub:

1. Öppna ditt repository på GitHub.

2. Välj fliken Åtgärder.

3. Välj arbetsflödesfilen .yaml för att se distributionsloggar och felmeddelanden.

För att se driftsättningsstatusen i Azure DevOps:

1. Öppna ditt repository i Azure DevOps.

2. Välj fliken Pipelines .

Efter att utplaceringen är avslutad:

• Innehållet som lagras i ditt arkiv visas på motsvarande Microsoft Sentinel-sidor i Defender-portalen.
• Anslutningsdetaljerna på Repositories-sidan visar distributionsstatus, tid för senaste distribution och en länk till distributionsloggarna.

Ett exempel:

Som standard distribuerar arbetsflödet endast innehåll som ändrats sedan föregående utrullning. Du kan anpassa detta beteende genom att ändra utrullningstriggers, stänga av smarta distributioner eller begränsa distributioner till en specifik rotmapp.

För mer information, se Anpassa repository-distributioner.

Redigera innehåll

Efter att du skapat en repository-anslutning, redigera anslutet innehåll i repositoryt istället för att redigera det direkt i Microsoft Defender.

Om du redigerar distribuerat innehåll i Microsoft Defender, exportera det uppdaterade innehållet tillbaka till ditt källkodskontrollarkiv. Annars kan dina ändringar skrivas över nästa gång innehåll distribueras från arkivet.

Ta bort innehåll

Att ta bort innehåll från ditt repository tar inte bort det från din ISOC-arbetsyta.

För att ta bort innehåll som distribuerats via ett arkiv:

1. Ta bort innehållet från ditt arkiv.

2. Ta bort motsvarande innehåll från Microsoft Sentinel i Defender-portalen.

Du kan filtrera innehåll efter dess källnamn för att hjälpa till att identifiera innehåll som distribueras från arkiv.

Ta bort en lagringsplatsanslutning

Att ta bort en repository-anslutning stoppar framtida innehållsdistributioner. Innehåll som tidigare distribuerats finns kvar i din ISOC-arbetsyta.

För att använda Bicep-filer måste din repository-anslutning vara nyare än den 1 november 2024. Ta bort och återskapa en äldre anslutning för att uppdatera den.

För att ta bort en repository-anslutning:

1. Logga in på Microsoft Defender-portalen.

2. Välj Microsoft Sentinel>Content Management>Repositories.

3. Välj den anslutning du vill ta bort.

4. Välj Ta bort.

5. Bekräfta borttagningen genom att välja Ja .

Efter att du tagit bort anslutningen finns innehållet som tidigare distribuerats via anslutningen kvar i din ISOC-arbetsyta. Innehåll som läggs till i arkivet efter att du tagit bort anslutningen är inte distribuerat.

Om du stöter på ett fel när du tar bort en anslutning, kontrollera ditt versionshanteringsarkiv och bekräfta att det tillhörande GitHub-arbetsflödet eller Azure DevOps-pipelinen är borttaget.

Ta bort Microsoft Sentinel-appen från din GitHub-lagringsplats

Innan du tar bort Microsoft Sentinel-appen från ett GitHub-arkiv, ta bort alla associerade anslutningar från sidan Repositories i Microsoft Defender.

Varje installation av Microsoft Sentinel-appen har ett unikt ID som används vid anslutning och borttagning. Om ID:t saknas eller ändras, ta bort anslutningen från Repositories-sidan och ta manuellt bort arbetsflödet från ditt GitHub-arkiv för att förhindra framtida innehållsdistributioner.

Relaterat innehåll

• ISOC i Microsoft Defender
• Skapa en ISOC-arbetsyta i Microsoft Defender-portalen
• Planera ditt arkivinnehåll
• Anpassa lagringsplatsdistributioner