Criar e gerenciar guias estratégicos do Microsoft Sentinel

Guias estratégicos são coleções de procedimentos que podem ser executados do Microsoft Sentinel em resposta a um incidente inteiro, a um alerta individual ou a uma entidade específica. Um guia estratégico pode ajudar a automatizar e orquestrar sua resposta e pode ser anexado a uma regra de automação para ser executado automaticamente quando alertas específicos são gerados ou quando incidentes são criados ou atualizados. Os guias estratégicos também podem ser executados manualmente sob demanda em incidentes, alertas ou entidades específicos.

Este artigo descreve como criar e gerenciar guias estratégicos do Microsoft Sentinel. Posteriormente, você pode anexar esses guias estratégicos a regras de análise ou regras de automação ou executá-los manualmente em incidentes, alertas ou entidades específicos.

Pré-requisitos

• Uma conta e uma assinatura do Azure. Se você não tiver uma assinatura, inscreva-se em uma conta gratuita do Azure.

• Para criar e gerenciar guias estratégicos, você precisa ter acesso ao Microsoft Sentinel com uma das seguintes funções do Azure:

  Aplicativo lógico	Funções do Azure	Descrição
  Consumo	Colaborador do Aplicativo Lógico	Editar e gerenciar aplicativos lógicos.
  Consumo	Operador de aplicativo lógico	Ler, habilitar e desabilitar aplicativos lógicos.
  Standard	Operador Standard de Aplicativos Lógicos	Habilitar, reenviar e desabilitar fluxos de trabalho.
  Standard	Desenvolvedor Padrão de Aplicativos Lógicos	Crie e edite fluxos de trabalho.
  Standard	Colaborador Padrão dos Aplicativos Lógicos	Gerenciar todos os aspectos de um fluxo de trabalho.

  Para saber mais, confira a seguinte documentação:

  • Acesso a operações de aplicativo lógico
  • Pré-requisitos do manual do Microsoft Sentinel.

• Antes de criar seu guia estratégico, recomendamos que você leia Aplicativos Lógicos do Azure para guias estratégicos do Microsoft Sentinel.

Criar um Guia estratégico

Siga estas etapas para criar um guia estratégico no Microsoft Sentinel:

1. No portal do Defender ou no portal do Azure, vá para a área de trabalho do Microsoft Sentinel. No menu do workspace, em Configuração, selecione Automação.

   • Portal do Defender
   • Portal do Azure

   

2. No menu superior, selecione Criar e selecione uma das seguintes opções:

   • Se você estiver criando um manual de Consumo, selecione uma das seguintes opções, dependendo do gatilho que deseja usar, e siga as etapas para um aplicativo lógico de Consumo:

     • Manual de instruções com gatilho de incidente
     • Guia estratégico com gatilho de alerta
     • Manual com gatilho de entidade

     Esse guia continua com o Playbook com gatilho de entidade.

   • Se você estiver criando um playbook Padrão, selecione Playbook em branco e então siga as etapas para o tipo de aplicativo lógico Padrão.

   Para obter mais informações, consulte tipos de aplicativo lógico com suporte e acionadores e ações com suporte nos playbooks do Microsoft Sentinel.

Preparar o aplicativo lógico do seu guia estratégico

Selecione uma das guias a seguir para obter detalhes sobre como criar um aplicativo lógico para seu guia estratégico, dependendo se você está usando um aplicativo lógico de Consumo ou Standard. Para obter mais informações, consulte tipos de aplicativo lógico com suporte.

Prompts de autenticação

Quando você adiciona um gatilho ou uma ação subsequente que requer autenticação, pode ser solicitado que você escolha entre os tipos de autenticação disponíveis com suporte para o provedor de recursos correspondente. Neste exemplo, um gatilho do Microsoft Sentinel é a primeira operação que você adiciona ao seu fluxo de trabalho. Portanto, o provedor de recursos é o Microsoft Sentinel, que dá suporte a várias opções de autenticação. Para saber mais, confira a seguinte documentação:

• Autenticar playbooks no Microsoft Sentinel
• Gatilhos e ações com suporte nos manuais do Microsoft Sentinel

Adicionar ações ao seu guia estratégico

Agora que você tem um fluxo de trabalho para o seu guia estratégico, defina o que acontece quando você chama o guia estratégico. Adicione ações, condições lógicas, loops ou condições de caso de alternância, tudo isso selecionando o sinal de adição (+) no designer. Para obter mais informações, consulte Criar um fluxo de trabalho com um gatilho ou ação.

Essa seleção abre o painel Adicionar uma ação em que você pode procurar ou pesquisar serviços, aplicativos, sistemas, ações de fluxo de controle e muito mais. Depois de inserir os termos da pesquisa ou selecionar o recurso desejado, a lista de resultados mostra as ações disponíveis.

Em cada ação, quando você seleciona dentro de um campo, obtém as seguintes opções:

• Conteúdo dinâmico (ícone relâmpago): escolha entre uma lista de saídas disponíveis das ações anteriores no fluxo de trabalho, incluindo o gatilho do Microsoft Sentinel. Por exemplo, essas saídas podem incluir os atributos de um alerta ou incidente que foi passado para o guia estratégico, incluindo os valores e atributos de todas as entidades mapeadas e detalhes personalizados no alerta ou incidente. Você pode adicionar referências à ação atual selecionando essas saídas.

  Para exemplos que mostram o uso de conteúdo dinâmico, consulte as seções a seguir:

  • Use manuais de entidades sem ID de incidente
  • Trabalhar com detalhes personalizados

• Editor de expressão (ícone de função): escolha entre uma grande biblioteca de funções para adicionar mais lógica ao seu fluxo de trabalho.

Para obter mais informações, veja Gatilhos e ações com suporte nos manuais do Microsoft Sentinel.

Conteúdo dinâmico: Guias estratégicos de entidade sem ID de incidente

Os manuais criados com o gatilho entidade Microsoft Sentinel geralmente usam o campo ID do ARM do incidente, por exemplo, para atualizar um incidente após executar uma ação na entidade. Se esse guia estratégico for disparado em um cenário que não esteja conectado a um incidente, como na busca a ameaças, não haverá ID de incidente para preencher esse campo. Em vez disso, o campo é preenchido com um valor nulo. Como resultado, o guia estratégico pode falhar ao ser executado até a conclusão.

Para evitar essa falha, recomendamos que você crie uma condição que verifique se há um valor no campo ID do incidente antes que o fluxo de trabalho execute qualquer outra ação. Você pode prescrever um conjunto diferente de ações a serem executadas se o campo tiver um valor nulo, devido ao fato de o guia estratégico não estar sendo executado a partir de um incidente.

1. No seu fluxo de trabalho, antes da primeira ação que se refere ao campo Incidente ARM ID, siga estas etapas gerais para adicionar uma Condição ação.

2. No painel Condição , na linha de condição, selecione a esquerda Escolher um campo de valor e, em seguida, selecione a opção de conteúdo dinâmico (ícone relâmpago).

3. Na lista de conteúdo dinâmico, em Incidente do Microsoft Sentinel, use a caixa de pesquisa para localizar e selecionar ID do incidente ARM.

   Dica

   Se a saída não aparecer na lista, ao lado do nome do gatilho, selecione Ver mais.

4. No campo do meio, na lista de operadores, a seleção não é igual a.

5. À direita , escolha um campo de valor e selecione a opção editor de expressão (ícone de função).

6. No editor, insira nulo e selecione Adicionar.

Quando terminar, sua condição terá uma aparência semelhante à do exemplo a seguir:

Conteúdo dinâmico: trabalhar com detalhes personalizados

No gatilho incidente do Microsoft Sentinel, a saída Detalhes personalizados do alerta é uma matriz de objetos JSON onde cada um representa um detalhe personalizado de um alerta. Os detalhes personalizados são pares de chave-valor que permitem que você exiba informações de eventos no alerta para que possam ser representados, rastreados e analisados como parte do incidente.

Esse campo no alerta é personalizável, portanto, seu esquema depende do tipo de evento que é apresentado. Para gerar o esquema que determina como analisar a saída de detalhes personalizados, forneça os dados de uma instância desse evento:

1. No menu do workspace do Microsoft Sentinel, em Configuração, selecione Análise.

2. Siga as etapas para criar ou abrir uma regra de consulta agendada existente ou uma regra de consulta NRT.

3. Na guia Definir lógica de regra, expanda a seção Detalhes personalizados, por exemplo:

   

   A tabela a seguir fornece mais informações sobre esses pares de chave-valor:

   Elemento	Location	Descrição
   Chave	Coluna da esquerda	Representa os campos personalizados que você cria.
   Valor	Coluna da direita	Representa os campos dos dados do evento que preenchem os campos personalizados.

4. Para gerar o esquema, forneça o seguinte exemplo de código JSON:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   O código mostra os nomes de chave como matrizes e os valores como itens nas matrizes. Os valores são mostrados como os valores reais, não a coluna que contém os valores.

Para usar campos personalizados para gatilhos de incidentes, siga estas etapas para seu fluxo de trabalho:

1. No designer de fluxo de trabalho, no gatilho do incidente Microsoft Sentinel, adicione a ação interna chamada Analisar JSON.

2. Selecione dentro do parâmetro Conteúdo da ação e selecione a opção de lista de conteúdo dinâmico (ícone relâmpago).

3. Na lista, na seção gatilho de incidente, localize e selecione Detalhes Personalizados do Alerta, por exemplo:

   

   Essa seleção adiciona automaticamente um loop For each ao redor de Parse JSON porque um incidente contém uma matriz de alertas.

4. No painel de informações Analisar JSON, selecione Usar carga útil de amostra para gerar esquema, por exemplo:

   

5. Na caixa Inserir ou colar uma amostra de payload JSON, forneça uma amostra de payload e selecione Concluído.

   Por exemplo, você pode encontrar um payload de amostra procurando no Log Analytics por outra instância desse alerta e, em seguida, copiando o objeto de detalhes personalizado, que você pode encontrar em Propriedades estendidas. Para acessar os dados do Log Analytics, vá para a página Logs no portal do Azure ou para a página de busca avançada no portal do Defender.

   O exemplo a seguir mostra o código JSON de amostra anterior:

   

   Quando você terminar, a caixa Esquema agora contém o esquema gerado com base no exemplo que você forneceu. A ação Analisar JSON cria campos personalizados que agora podem ser usados como campos dinâmicos com o tipo Matriz nas ações subsequentes do fluxo de trabalho.

   O exemplo a seguir mostra uma matriz e seus itens, tanto no esquema quanto na lista de conteúdo dinâmico para uma ação subsequente chamada Redigir:

   

Gerenciar seus guias estratégicos

Selecione a aba Automação > Playbooks ativos para visualizar todos os playbooks aos quais você tem acesso, filtrados pela sua visualização de assinatura.

Após integrar o portal do Microsoft Defender, por padrão a guia Manuais ativos mostra um filtro predefinido com a assinatura do espaço de trabalho integrado. No portal do Azure, edite as assinaturas que você está mostrando no menu Diretório + assinatura no cabeçalho de página global do Azure.

Embora a guia Playbooks ativos exiba todos os playbooks ativos disponíveis em todas as assinaturas selecionadas, por padrão, um playbook só pode ser usado dentro da assinatura à qual pertence, a menos que você conceda especificamente permissões do Microsoft Sentinel ao grupo de recursos do playbook.

A aba Playbooks ativos mostra seus playbooks com os seguintes detalhes:

Selecione um guia estratégico para abrir sua página dos Aplicativos Lógicos do Azure, que mostra mais detalhes sobre o guia estratégico. Na página dos Aplicativos Lógicos do Azure:

• Exibir um log de todas as vezes em que o guia estratégico foi executado
• Exibir resultados da execução, incluindo êxitos, falhas e outros detalhes
• Se você tiver as permissões relevantes, abra o designer de fluxo de trabalho nos Aplicativos Lógicos do Azure para editar o guia estratégico diretamente

Conteúdo relacionado

Depois de criar seu guia estratégico, anexe-o a regras a serem acionadas por eventos em seu ambiente ou execute seus guias estratégicos manualmente em incidentes, alertas ou entidades específicos.

Para obter mais informações, consulte:

• Automatize e execute os playbooks do Microsoft Sentinel
• Autenticar playbooks no Microsoft Sentinel
• Use um manual do Microsoft Sentinel para bloquear usuários potencialmente comprometidos