Doporučené případy použití playbooku, šablony a příklady

Tento článek uvádí ukázkové případy použití playbooků Microsoft Sentinelu a také ukázkové playbooky a doporučené šablony playbooků.

Doporučené případy použití playbooku

Doporučujeme začít s playbooky Microsoft Sentinelu pro následující scénáře SOC, pro které poskytujeme připravené šablony playbooků.

Rozšiřování: Shromažďování a připojení dat k incidentu za účelem inteligentního rozhodování

Pokud se incident Microsoft Sentinelu vytvoří z pravidla upozornění a analýzy, které generuje entity IP adres, nakonfigurujte incident tak, aby aktivoval pravidlo automatizace pro spuštění playbooku a shromáždění dalších informací.

Playbook nakonfigurujte pomocí následujících kroků:

1. Playbook spusťte při vytvoření incidentu. Entity reprezentované v incidentu se ukládají do dynamických polí triggeru incidentu.

2. Pro každou IP adresu nakonfigurujte playbook tak, aby dotazovali externího poskytovatele analýzy hrozeb, jako je například Virus Total, a načtěte další data.

3. Přidejte vrácená data a přehledy jako komentáře incidentu k obohacení vyšetřování.

Obousměrná synchronizace incidentů Microsoft Sentinelu s jinými systémy lístků

Pokud chcete synchronizovat data incidentů Microsoft Sentinelu se systémem lístků, například ServiceNow:

1. Vytvořte pravidlo automatizace pro vytvoření všech incidentů.

2. Připojte playbook, který se aktivuje při vytvoření nového incidentu.

3. Pomocí konektoru ServiceNow nakonfigurujte playbook tak, aby v ServiceNow vytvořil nový lístek.

   Ujistěte se, že týmy můžou snadno přejít z lístku ServiceNow zpět na incident Microsoft Sentinel tím, že playbook nakonfigurujete tak, aby zahrnoval název incidentu, důležitá pole a adresu URL incidentu Microsoft Sentinelu v lístku ServiceNow.

Orchestrace: Řízení fronty incidentů z chatovací platformy SOC

Pokud se váš incident Microsoft Sentinelu vytvoří z pravidla upozornění a analýzy, které generuje entity uživatelských jmen a IP adres, nakonfigurujte incident tak, aby aktivoval pravidlo automatizace pro spuštění playbooku a kontaktoval váš tým přes standardní komunikační kanály.

Playbook nakonfigurujte pomocí následujících kroků:

1. Playbook spusťte při vytvoření incidentu. Entity reprezentované v incidentu se ukládají do dynamických polí triggeru incidentu.

2. Nakonfigurujte playbook tak, aby odeslal zprávu do komunikačního kanálu operací zabezpečení, například v Microsoft Teams nebo Slacku , aby se ujistili, že o incidentu vědí vaši analytici zabezpečení.

3. Nakonfigurujte playbook tak, aby posílal všechny informace v upozornění e-mailem vedoucímu správci sítě a správci zabezpečení. E-mailová zpráva obsahuje přepínače Blokovat a Ignorovat uživatele.

4. Nakonfigurujte playbook tak, aby čekal na přijetí odpovědi od správců a pak pokračujte ve spuštění.

5. Pokud správci vyberou Blokovat, nakonfigurujte playbook tak, aby odeslal příkaz do brány firewall, aby zablokoval IP adresu v upozornění, a další do Microsoft Entra ID, aby zakázal uživatele.

Okamžitá reakce na hrozby s minimálními lidskými závislostmi

Tato část obsahuje dva příklady, které reagují na hrozby ohroženého uživatele a ohroženého počítače.

V případě ohroženého uživatele, například zjištěného službou Microsoft Entra ID Protection:

1. Spusťte playbook při vytvoření nového incidentu Microsoft Sentinelu.

2. Pro každou entitu uživatele v incidentu, která je podezřelá z ohrožení zabezpečení, nakonfigurujte playbook tak, aby:

   1. Odešlete uživateli zprávu Teams s žádostí o potvrzení, že uživatel provedl podezřelou akci.

   2. Zkontrolujte ochranu Microsoft Entra ID Protection a ověřte, že je uživatel ohrožený. Microsoft Entra ID Protection označí uživatele jako rizikové a použije všechny zásady vynucení, které jsou už nakonfigurované – například pro vyžadování, aby uživatel při příštím přihlášení použil vícefaktorové ověřování.

   Poznámka:

   Tato konkrétní akce Microsoft Entra nespouštět žádné aktivity vynucení uživatele ani nespouštět žádnou konfiguraci zásad vynucení. Informuje společnost Microsoft Entra ID Protection, aby podle potřeby použila všechny již definované zásady. Jakékoli vynucování závisí zcela na příslušných zásadách definovaných ve službě Microsoft Entra ID Protection.

V případě ohroženého počítače, například zjištěného v programu Microsoft Defender for Endpoint:

1. Spusťte playbook při vytvoření nového incidentu Microsoft Sentinelu.

2. Nakonfigurujte playbook pomocí akce Entity – Získání hostitelů za účelem analýzy podezřelých počítačů, které jsou součástí entit incidentu.

3. Nakonfigurujte playbook tak, aby v programu Microsoft Defender for Endpoint vydal příkaz k izolaci počítačů v upozornění.

Ruční reakce během vyšetřování nebo při proaktivním vyhledávání bez opuštění kontextu

Pomocí triggeru entity můžete provést okamžitou akci s jednotlivými aktéry hrozeb, které zjistíte během vyšetřování, a to po jednom přímo v rámci vyšetřování. Tato možnost je dostupná také v kontextu proaktivního vyhledávání hrozeb, která není připojená k žádnému konkrétnímu incidentu.

Vyberte entitu v kontextu a proveďte akce přímo tam, ušetříte čas a snížíte složitost.

Playbooky s triggery entit podporují akce, jako jsou:

• Blokování ohroženého uživatele
• Blokování provozu ze škodlivé IP adresy ve vaší bráně firewall
• Izolování ohroženého hostitele ve vaší síti.
• Přidání IP adresy do seznamu bezpečných nebo nebezpečných adres nebo do externí databáze pro správu konfigurace (CMDB).
• Získání sestavy hash souboru z externího zdroje analýzy hrozeb a jeho přidání do incidentu jako komentáře

Doporučené šablony playbooků

Tato část obsahuje seznam doporučených playbooků a dalších podobných playbooků, které jsou dostupné v centru obsahu nebo v úložišti GitHub pro Microsoft Sentinel.

Šablony playbooku pro oznámení

Playbooky oznámení se aktivují při vytvoření výstrahy nebo incidentu a odeslání oznámení do nakonfigurovaného cíle:

Blokování šablon playbooků

Blokující playbooky se aktivují při vytvoření výstrahy nebo incidentu, shromažďování informací o entitách, jako je účet, IP adresa a hostitel, a blokují je před dalšími akcemi:

Vytváření, aktualizace nebo zavření šablon playbooků

Vytváření, aktualizace nebo zavření playbooků může vytvářet, aktualizovat nebo zavírat incidenty v Microsoft Sentinelu, službách zabezpečení Microsoft 365 nebo jiných systémech lístků:

Běžně používané konfigurace playbooků

Tato část obsahuje ukázkové snímky obrazovek pro běžně používané konfigurace playbooku, včetně aktualizace incidentu, použití podrobností o incidentu, přidání komentářů k incidentu nebo zakázání uživatele.

Aktualizace incidentu

Tato část obsahuje ukázkové snímky obrazovek, jak můžete pomocí playbooku aktualizovat incident na základě nového incidentu nebo výstrahy.

Aktualizace incidentu na základě nového incidentu (trigger incidentu):

Aktualizace incidentu na základě nové výstrahy (trigger upozornění):

Použití podrobností o incidentu ve vašem toku

Tato část obsahuje ukázkové snímky obrazovek s tím, jak můžete playbook použít k použití podrobností o incidentech jinde ve vašem toku:

Odeslání podrobností o incidentu poštou pomocí playbooku aktivovaného novým incidentem:

Odeslání podrobností o incidentu poštou pomocí playbooku aktivovaného novou výstrahou:

Přidání komentáře k incidentu

Tato část obsahuje ukázkové snímky obrazovek, jak můžete playbook použít k přidání komentářů k incidentu:

Přidejte komentář k incidentu pomocí playbooku aktivovaného novým incidentem:

Přidejte komentář k incidentu pomocí playbooku aktivovaného novou výstrahou:

Zakázání uživatele

Následující snímek obrazovky ukazuje příklad použití playbooku k zakázání uživatelského účtu na základě triggeru entity Služby Microsoft Sentinel:

Související obsah

• Automatizace reakcí na hrozby pomocí playbooků v Microsoft Sentinelu
• Vytváření a přizpůsobení playbooků Microsoft Sentinelu ze šablon obsahu
• Automatizace a spouštění playbooků Microsoft Sentinelu