Trabalhar com tarefas de incidentes no Microsoft Sentinel

  • Artigo

Este artigo explica como os analistas SOC podem usar tarefas de incidentes para gerenciar seus processos de fluxo de trabalho de tratamento de incidentes no Microsoft Sentinel.

As tarefas de incidentes geralmente são criadas automaticamente por regras de automação ou playbooks configurados por analistas seniores ou gerentes de SOC, mas os analistas de nível inferior podem criar suas próprias tarefas no local, manualmente, diretamente do incidente.

Você pode ver a lista de tarefas que precisa executar para um incidente específico na página de detalhes do incidente e marcá-las como concluídas à medida que avança.

Casos de uso para diferentes funções

Este artigo aborda os seguintes cenários, que se aplicam aos analistas SOC:

Outros artigos nos links a seguir abordam cenários que se aplicam mais a gerentes de SOC, analistas seniores e engenheiros de automação:

Pré-requisitos

A função Microsoft Sentinel Responder é necessária para criar regras de automação e para exibir e editar incidentes, ambos necessários para adicionar, exibir e editar tarefas.

Ver e seguir tarefas de incidentes

  1. Na página Incidentes, selecione um incidente na lista e selecione Exibir detalhes completos em Tarefas no painel de detalhes ou selecione Exibir detalhes completos na parte inferior do painel de detalhes.

    Screenshot of link to enter the tasks panel from the incident info panel on the main incidents screen.

  2. Se você optou por inserir a página de detalhes completos, selecione Tarefas no banner superior.

    Screenshot shows incident details screen with tasks panel open.

  3. O painel Tarefas de incidentes será aberto no lado direito da tela em que você estava (a página principal de incidentes ou a página de detalhes do incidente). Você verá a lista de tarefas definidas para esse incidente, juntamente com como ou por quem ele foi criado - seja manualmente ou por uma regra de automação ou um manual.

    Screenshot shows incident tasks panel as seen from incident details page.

  4. As tarefas com descrições serão marcadas com uma seta de expansão. Expanda uma tarefa para ver sua descrição completa.

    Screenshot shows incident tasks panel with expanded task descriptions.

  5. Marque uma tarefa concluída marcando o círculo ao lado do nome da tarefa. Uma marca de seleção aparecerá no círculo e o texto da tarefa ficará acinzentado. Veja o exemplo "Redefinir senha do usuário" nas capturas de tela acima.

Adicionar manualmente uma tarefa ad-hoc a um incidente

Você também pode adicionar tarefas por si mesmo, no local, à lista de tarefas de um incidente. Esta tarefa aplicar-se-á apenas ao incidente em aberto. Isso ajuda se a sua investigação o levar a novas direções e você pensar em coisas novas que precisa verificar. Adicioná-las como tarefas garante que você não se esqueça de fazê-las, e que haverá um registro do que você fez, do qual outros analistas e gerentes podem se beneficiar.

  1. Selecione + Adicionar tarefa na parte superior do painel Tarefas de incidente.

    Screenshot shows how to manually add a task to your task list.

  2. Introduza um Título para a sua tarefa e uma Descrição , se assim o desejar.

    Screenshot shows how to add a title and description to your task.

  3. Selecione Salvar quando terminar.

    Screenshot shows how to finish defining and save your task.

  4. Veja a sua nova tarefa na parte inferior da lista de tarefas. Observe que as tarefas criadas manualmente têm uma faixa de cores diferente na borda esquerda e que seu nome aparece como Criado por: sob o título e a descrição da tarefa.

    Screenshot showing your new task at the end of the task list.

Próximos passos