Criar e gerenciar playbooks do Microsoft Sentinel

Os playbooks são conjuntos de procedimentos que podem ser executados a partir do Microsoft Sentinel em resposta a um incidente inteiro, a um alerta individual ou a uma entidade específica. Um manual pode ajudar a automatizar e orquestrar sua resposta e pode ser anexado a uma regra de automação para ser executado automaticamente quando alertas específicos são gerados ou quando incidentes são criados ou atualizados. Os playbooks também podem ser executados manualmente sob demanda em incidentes, alertas ou entidades específicas.

Este artigo descreve como criar e gerenciar playbooks do Microsoft Sentinel. Mais tarde, você pode anexar esses manuais a regras de análise ou regras de automação ou executá-los manualmente em incidentes, alertas ou entidades específicos.

Pré-requisitos

• Uma conta e subscrição do Azure. Se não tiver uma subscrição, inscreva-se numa conta do Azure gratuita.

• Para criar e gerenciar playbooks, você precisa acessar o Microsoft Sentinel com uma das seguintes funções do Azure:

  Aplicação lógica	Funções do Azure	Description
  Consumo	Colaborador do Aplicativo Lógico	Edite e gerencie aplicativos lógicos.
  Consumo	Operador de aplicativo lógico	Leia, habilite e desabilite aplicativos lógicos.
  Standard	Operador padrão de aplicativos lógicos	Habilitar, reenviar e desabilitar fluxos de trabalho.
  Standard	Desenvolvedor Logic Apps Standard	Crie e edite fluxos de trabalho.
  Standard	Contribuidor padrão de aplicativos lógicos	Gerencie todos os aspetos de um fluxo de trabalho.

  Para obter mais informações, veja a seguinte documentação:

  • Acesso a operações lógicas de aplicativos
  • Pré-requisitos do manual do Microsoft Sentinel.

• Antes de criar seu playbook, recomendamos que você leia os playbooks do Azure Logic Apps for Microsoft Sentinel.

Criar um playbook

Siga estas etapas para criar um novo manual no Microsoft Sentinel:

1. No portal do Azure ou no portal do Defender, vá para o seu espaço de trabalho do Microsoft Sentinel. No menu do espaço de trabalho, em Configuração, selecione Automação.

   • Portal do Azure
   • Portal do Defender

   

2. No menu superior, selecione Criar e, em seguida, selecione uma das seguintes opções:

   • Se você estiver criando um playbook de consumo, selecione uma das seguintes opções, dependendo do gatilho que deseja usar, e siga as etapas para um aplicativo de lógica de consumo:

     • Playbook com gatilho de incidente
     • Playbook com gatilho de alerta
     • Playbook com gatilho de entidade

     Este guia continua com o Playbook com gatilho de entidade.

   • Se você estiver criando um playbook padrão, selecione Playbook em branco e siga as etapas para o tipo de aplicativo lógico padrão.

   Para obter mais informações, consulte Tipos de aplicativos lógicos suportados e Gatilhos e ações suportados nos playbooks do Microsoft Sentinel.

Prepare o aplicativo lógico do seu playbook

Selecione uma das guias a seguir para obter detalhes sobre como criar um aplicativo lógico para seu playbook, dependendo se você estiver usando um aplicativo lógico Consumo ou Padrão. Para obter mais informações, consulte Tipos de aplicativos lógicos suportados.

Prompts de autenticação

Quando você adiciona um gatilho ou uma ação subsequente que requer autenticação, você pode ser solicitado a escolher entre os tipos de autenticação disponíveis suportados pelo provedor de recursos correspondente. Neste exemplo, um gatilho do Microsoft Sentinel é a primeira operação que você adiciona ao seu fluxo de trabalho. Assim, o provedor de recursos é o Microsoft Sentinel, que suporta várias opções de autenticação. Para obter mais informações, veja a seguinte documentação:

• Autenticar manuais de procedimentos no Microsoft Sentinel
• Gatilhos e ações suportados nos playbooks do Microsoft Sentinel

Adicionar ações ao seu playbook

Agora que você tem um fluxo de trabalho para o seu playbook, defina o que acontece quando você chama o playbook. Adicione ações, condições lógicas, loops ou condições de caso de alternância, tudo selecionando o sinal de adição (+) no designer. Para obter mais informações, consulte Criar um fluxo de trabalho com um gatilho ou ação.

Esta seleção abre o painel Adicionar uma ação , onde pode procurar ou procurar serviços, aplicações, sistemas, ações de fluxo de controlo e muito mais. Depois de inserir os termos de pesquisa ou selecionar o recurso desejado, a lista de resultados mostra as ações disponíveis.

Em cada ação, quando você seleciona dentro de um campo, você obtém as seguintes opções:

• Conteúdo dinâmico (ícone do relâmpago): escolha a partir de uma lista de saídas disponíveis das ações anteriores no fluxo de trabalho, incluindo o gatilho do Microsoft Sentinel. Por exemplo, essas saídas podem incluir os atributos de um alerta ou incidente que foi passado para o playbook, incluindo os valores e atributos de todas as entidades mapeadas e detalhes personalizados no alerta ou incidente. Você pode adicionar referências à ação atual selecionando essas saídas.

  Para obter exemplos que mostram o uso de conteúdo dinâmico, consulte as seguintes seções:

  • Usar playbooks de entidade sem ID de incidente
  • Trabalhar com detalhes personalizados

• Editor de expressões (ícone de função): escolha a partir de uma grande biblioteca de funções para adicionar mais lógica ao seu fluxo de trabalho.

Para obter mais informações, consulte Acionadores e ações suportados nos playbooks do Microsoft Sentinel.

Conteúdo dinâmico: playbooks de entidade sem ID de incidente

Os playbooks criados com o gatilho de entidade do Microsoft Sentinel geralmente usam o campo ID do ARM do incidente, por exemplo, para atualizar um incidente depois de tomar medidas sobre a entidade. Se esse manual for acionado em um cenário que não está conectado a um incidente, como durante a caça a ameaças, não há ID de incidente para preencher esse campo. Em vez disso, o campo é preenchido com um valor nulo. Como resultado, o manual pode não ser executado até a conclusão.

Para evitar essa falha, recomendamos que você crie uma condição que verifique se há um valor no campo ID do incidente antes que o fluxo de trabalho execute qualquer outra ação. Você pode prescrever um conjunto diferente de ações a serem tomadas se o campo tiver um valor nulo, devido ao manual não ser executado a partir de um incidente.

1. No seu fluxo de trabalho, antes da primeira ação que se refere ao campo ID do ARM do Incidente, siga estas etapas gerais para adicionar uma ação Condição.

2. No painel Condição, na linha de condição, selecione o campo esquerdo Escolha um valor e, em seguida, selecione a opção de conteúdo dinâmico (ícone de relâmpago).

3. Na lista de conteúdo dinâmico, em Incidente do Microsoft Sentinel, use a caixa de pesquisa para localizar e selecionar ID ARM do incidente.

   Gorjeta

   Se a saída não aparecer na lista, ao lado do nome do gatilho, selecione Ver mais.

4. No campo do meio, na lista de operadores, selecionar não é igual a.

5. À direita , escolha um campo de valor e selecione a opção do editor de expressões (ícone de função).

6. No editor, digite null e selecione Adicionar.

Quando terminar, a sua condição será semelhante ao exemplo seguinte:

Conteúdo dinâmico: trabalhe com detalhes personalizados

No gatilho de incidente do Microsoft Sentinel, a saída Detalhes personalizados do Alerta é uma matriz de objetos JSON em que cada um representa um detalhe personalizado de um alerta. Os detalhes personalizados são pares chave-valor que permitem exibir informações de eventos no alerta para que possam ser representadas, rastreadas e analisadas como parte do incidente.

Este campo no alerta é personalizável, portanto, seu esquema depende do tipo de evento que é exibido. Para gerar o esquema que determina como analisar a saída de detalhes personalizados, forneça os dados de uma instância deste evento:

1. No menu de espaço de trabalho do Microsoft Sentinel, em Configuração, selecione Análise.

2. Siga as etapas para criar ou abrir uma regra de consulta agendada existente ou uma regra de consulta NRT.

3. Na guia Definir lógica da regra, expanda a seção Detalhes personalizados, por exemplo:

   

   A tabela a seguir fornece mais informações sobre esses pares chave-valor:

   Item	Location	Description
   Chave	Coluna da esquerda	Representa os campos personalizados que você cria.
   Valor	Coluna da direita	Representa os campos dos dados de evento que preenchem os campos personalizados.

4. Para gerar o esquema, forneça o seguinte exemplo de código JSON:

   { "FirstCustomField": [ "1", "2" ], "SecondCustomField": [ "a", "b" ] }
   

   O código mostra os nomes das chaves como matrizes e os valores como itens nas matrizes. Os valores são mostrados como os valores reais, não como a coluna que contém os valores.

Para usar campos personalizados para gatilhos de incidente, siga estas etapas para seu fluxo de trabalho:

1. No designer de fluxo de trabalho, sob o gatilho de incidente do Microsoft Sentinel, adicione a ação interna chamada Analisar JSON.

2. Selecione dentro do parâmetro Content da ação e selecione a opção de lista de conteúdo dinâmico (ícone relâmpago).

3. Na lista, na seção de gatilho de incidente, localize e selecione Detalhes personalizados do alerta, por exemplo:

   

   Essa seleção adiciona automaticamente um Para cada loop em torno do JSON de Análise porque um incidente contém uma matriz de alertas.

4. No painel Analisar informações JSON, selecione Usar carga útil de exemplo para gerar esquema, por exemplo:

   

5. Na caixa Inserir ou colar uma carga JSON de exemplo, forneça uma carga útil de exemplo e selecione Concluído.

   Por exemplo, você pode encontrar uma carga útil de exemplo procurando outra instância desse alerta no Log Analytics e, em seguida, copiando o objeto de detalhes personalizados, que pode ser encontrado em Propriedades estendidas. Para acessar os dados do Log Analytics, vá para a página Logs no portal do Azure ou para a página Caça avançada no portal do Defender.

   O exemplo a seguir mostra o código JSON de exemplo anterior:

   

   Quando você terminar, a caixa Esquema agora contém o esquema gerado com base no exemplo fornecido. A ação Analisar JSON cria campos personalizados que agora você pode usar como campos dinâmicos com o tipo Array nas ações subsequentes do fluxo de trabalho.

   O exemplo a seguir mostra uma matriz e seus itens, tanto no esquema quanto na lista de conteúdo dinâmico para uma ação subsequente chamada Compose:

   

Gerencie seus playbooks

Selecione a guia Playbooks Automation > Ative para visualizar todos os playbooks aos quais você tem acesso, filtrados pela visualização da sua assinatura.

Depois de integrar a plataforma unificada de operações de segurança, por padrão, a guia Playbooks ativos mostra um filtro predefinido com a assinatura do espaço de trabalho integrado. No portal do Azure, edite as assinaturas que você está mostrando no menu Diretório + assinatura no cabeçalho da página global do Azure.

Embora a guia Playbooks ativos exiba todos os playbooks ativos disponíveis em qualquer assinatura selecionada, por padrão, um playbook pode ser usado somente dentro da assinatura à qual pertence, a menos que você conceda especificamente permissões do Microsoft Sentinel para o grupo de recursos do playbook.

A guia Playbooks ativos mostra seus playbooks com os seguintes detalhes:

Selecione um playbook para abrir sua página de Aplicativos Lógicos do Azure, que mostra mais detalhes sobre o playbook. Na página Aplicativos Lógicos do Azure:

• Ver um registo de todas as vezes que o playbook foi executado
• Veja os resultados da execução, incluindo sucessos e falhas e outros detalhes
• Se você tiver as permissões relevantes, abra o designer de fluxo de trabalho nos Aplicativos Lógicos do Azure para editar o manual diretamente

Conteúdos relacionados

Depois de criar seu playbook, anexe-o a regras a serem acionadas por eventos em seu ambiente ou execute seus playbooks manualmente em incidentes, alertas ou entidades específicos.

Para obter mais informações, consulte:

• Automatize e execute playbooks do Microsoft Sentinel
• Autenticar manuais de procedimentos no Microsoft Sentinel
• Use um manual do Microsoft Sentinel para impedir usuários potencialmente comprometidos