Programmgesteuertes Verwenden von SOC-Optimierungen (Vorschau)

Verwenden Sie die Microsoft Sentinel-APIrecommendations, um programmgesteuert mit SOC-Optimierungsempfehlungen zu interagieren, um Deckungslücken gegen bestimmte Bedrohungen zu schließen und die Erfassungsraten zu erhöhen. Sie können Details zu allen aktuellen Empfehlungen in Ihren Arbeitsbereichen oder einer bestimmten SOC-Optimierungsempfehlung abrufen oder eine Empfehlung neu bewerten, wenn Sie Änderungen in Ihrer Umgebung vorgenommen haben.

Verwenden Sie beispielsweise die recommendations API für Folgendes:

• Erstellen sie benutzerdefinierte Berichte und Dashboards. Weitere Informationen finden Sie z. B. unter Visualisieren von benutzerdefinierten SOC-Optimierungsdaten.
• Integration in Drittanbietertools, z. B. für SOAR- und ITSM-Dienste
• Erhalten Sie automatisierten Echtzeitzugriff auf SOC-Optimierungsdaten, lösen Auswertungen aus und reagieren umgehend auf die Vorschläge

Für Kunden oder MSSPs, die mehrere Umgebungen verwalten, bietet die recommendations API eine skalierbare Möglichkeit, Empfehlungen für mehrere Arbeitsbereiche zu verarbeiten. Sie können Daten auch aus der API exportieren und extern speichern, um Trends zu überwachen, zu archivieren oder zu verfolgen.

Empfehlungen abrufen, aktualisieren oder neu bewerten

Verwenden Sie die folgenden Beispiele der recommendationsAPI , um programmgesteuert mit SOC-Optimierungsempfehlungen zu interagieren:

• Rufen Sie eine Liste aller aktuellen SOC-Optimierungsempfehlungen in Ihrem Arbeitsbereich ab:

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations?api-version=2024-01-01-preview 
  

• Rufen Sie eine bestimmte Empfehlung anhand der Empfehlungs-ID ab:

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

  Suchen Sie den ID-Wert einer Empfehlung, indem Sie zuerst eine Liste aller Empfehlungen in Ihrem Arbeitsbereich abrufen.

• Aktualisieren Sie die status einer Empfehlung in Aktiv, In Bearbeitung, Abgeschlossen, Verworfen oder Reaktivieren:

  PATCH /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

• Manuelles Auslösen einer Auswertung für eine bestimmte Empfehlung:

  POST /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} /triggerEvaluation 
  

Visualisieren von benutzerdefinierten SOC-Optimierungsdaten

Die Microsoft Sentinel-Optimierungsarbeitsmappe verwendet die recommendations API, um SOC-Optimierungsdaten zu visualisieren. Installieren und passen Sie die Arbeitsmappe in Ihrem Arbeitsbereich an, um ein eigenes Dashboard zur SOC-Optimierung zu erstellen.

Wählen Sie in den Microsoft Sentinel Optimization Workbooks die Registerkarte SOC-Optimierung aus, und erweitern Sie die Einträge unter Details, um SOC-Optimierungsdaten im Drilldown anzuzeigen. Bearbeiten Sie die Arbeitsmappe, um die angezeigten Daten nach Bedarf für Ihre organization zu ändern.

Zum Beispiel:

Weitere Informationen finden Sie unter:

• Entdecken und verwalten Sie die vorgefertigten Inhalte von Microsoft Sentinel
• Visualisieren und überwachen Sie Ihre Daten mithilfe von Arbeitsmappen in Microsoft Sentinel.

Verwandte Inhalte

Weitere Informationen finden Sie unter:

• Optimieren Ihrer Sicherheitsvorgänge
• Referenz für Empfehlungen zur SOC-Optimierung
• Referenz zur REST-API „Get Recommendations“
• Blogs: Einführung in die SOC-Optimierungs-API | – Nutzen sie die Leistungsfähigkeit der präzisen Sicherheitsverwaltung