Tutorial: Automatische Überprüfung und Aufzeichnung von IP-Adress-Reputationsinformationen in Vorfällen

Eine schnelle und einfache Möglichkeit, den Schweregrad eines Incidents zu bewerten, besteht darin, festzustellen, ob darin enthaltene IP-Adressen als Quellen böswilliger Aktivitäten bekannt sind. Eine Möglichkeit, dies automatisch zu tun, kann Ihnen viel Zeit und Mühe sparen.

In diesem Tutorial erfahren Sie, wie Sie Microsoft Sentinel-Automatisierungsregeln und Playbooks verwenden, um die IP-Adressen in Ihren Vorfällen automatisch anhand einer Threat-Intelligence-Quelle zu überprüfen und jedes Ergebnis im jeweiligen Vorfall aufzuzeichnen.

Wenn Sie dieses Tutorial abgeschlossen haben, können Sie Folgendes ausführen:

Voraussetzungen

Stellen Sie für dieses Tutorial sicher, dass Sie über Folgendes verfügen:

• Ein Azure-Abonnement. Erstellen Sie ein kostenloses Konto , falls Sie noch kein Konto besitzen.

• Ein Log Analytics-Arbeitsbereich mit der darauf bereitgestellten Microsoft Sentinel Lösung und erfassten Daten.

• Ein Azure Benutzer, dem die folgenden Rollen für die folgenden Ressourcen zugewiesen sind:

  • Microsoft Sentinel Contributor im Log Analytics-Arbeitsbereich, in dem Microsoft Sentinel bereitgestellt ist.
  • Mitwirkender für Logic Apps und Besitzer oder eine gleichwertige Rolle für die Ressourcengruppe, die das in diesem Tutorial erstellte Playbook enthalten wird.

• Installiert VirusTotal Solution aus dem Content Hub

• Ein (kostenloses) VirusTotal-Konto reicht für dieses Tutorial aus. Eine Produktionsimplementierung erfordert ein VirusTotal Premium-Konto.

• Ein Azure Monitor-Agent ist auf mindestens einem Computer in Ihrer Umgebung installiert, sodass Incidents generiert und an Microsoft Sentinel gesendet werden.

Playbook aus einer Vorlage erstellen

Microsoft Sentinel enthält vorgefertigte, sofort einsatzbereite Playbookvorlagen, die Sie anpassen und verwenden können, um eine große Anzahl grundlegender SecOps-Ziele und -Szenarien zu automatisieren. Lass uns eine Lösung finden, um die IP-Adressinformationen in unseren Vorfällen anzureichern.

1. Wählen Sie in Microsoft Sentinel Konfiguration>Automatisierung aus.

2. Wählen Sie auf der Seite Automatisierung die Registerkarte Playbookvorlagen (Vorschau) aus.

3. Suchen Sie eine der Berichtsvorlagen „IP Enrichment – VirusTotal report“ für Entitäts-, Vorfalls- oder Warnungsauslöser und wählen Sie eine aus. Filtern Sie die Liste bei Bedarf nach dem Enrichment-Tag, um Ihre Vorlagen zu finden.

4. Wählen Sie im Detailbereich Playbook erstellen aus. Zum Beispiel:

   

5. Der Assistent Playbook erstellen wird geöffnet. Auf der Registerkarte Grundlagen:

   1. Wählen Sie Ihr Abonnement, Ihre Ressourcengruppe und Ihre Region aus den jeweiligen Dropdownlisten aus.

   2. Bearbeiten Sie den Playbook-Namen, indem Sie „Get-VirusTotalIPReport“ an den vorgeschlagenen Namen anhängen. Auf diese Weise können Sie erkennen, aus welcher ursprünglichen Vorlage dieses Playbooks stammt, und gleichzeitig sicherstellen, dass es einen eindeutigen Namen hat, falls Sie ein anderes Playbook aus derselben Vorlage erstellen möchten. Nennen wir es "Get-VirusTotalIPReport-Tutorial-1".

   3. Lassen Sie die Option Diagnoseprotokolle in Log Analytics aktivieren deaktiviert.

   4. Wählen Sie Weiter: Verbindungen > aus.

6. Auf der Registerkarte Verbindungen werden alle Verbindungen angezeigt, die dieses Playbook mit anderen Diensten herstellen muss, sowie die Authentifizierungsmethode, die verwendet wird, wenn die Verbindung bereits in einem vorhandenen Logik-App-Workflow in derselben Ressourcengruppe hergestellt wurde.

   1. Lassen Sie die Microsoft Sentinel Verbindung unverändert (es sollte "Verbindung mit verwalteter Identität herstellen") angezeigt werden.

   2. Wenn Verbindungen "Neue Verbindung wird konfiguriert" lauten, werden Sie in der nächsten Phase des Tutorials dazu aufgefordert. Wenn Sie bereits über Verbindungen mit diesen Ressourcen verfügen, wählen Sie den Erweiterungspfeil links neben der Verbindung aus, und wählen Sie eine vorhandene Verbindung aus der erweiterten Liste aus. Für diese Übung lassen wir es unverändert.

      

   3. Wählen Sie Weiter : Überprüfen und erstellen >.

7. Überprüfen Sie auf der Registerkarte Überprüfen und erstellen alle von Ihnen eingegebenen Informationen, wie sie hier angezeigt werden, und wählen Sie Playbook erstellen aus.

   

   Wenn das Playbook bereitgestellt wird, wird eine kurze Reihe von Benachrichtigungen über den Fortschritt angezeigt. Anschließend wird der Logik-App-Designer geöffnet, und Ihr Playbook wird angezeigt. Wir müssen weiterhin die Verbindungen der Logik-App mit den Ressourcen autorisieren, mit denen sie interagiert, damit das Playbook ausgeführt werden kann. Anschließend überprüfen wir jede der Aktionen im Playbook, um sicherzustellen, dass sie für unsere Umgebung geeignet sind, und nehmen bei Bedarf Änderungen vor.

   

Autorisieren von Logik-App-Verbindungen

Denken Sie daran, dass uns beim Erstellen des Playbooks aus der Vorlage mitgeteilt wurde, dass die Verbindungen für Azure Log Analytics Data Collector und VirusTotal später konfiguriert würden.

Hier ist, wo wir das tun.

VirusTotal-Verbindung autorisieren

1. Wählen Sie die Aktion For each aus, um sie zu erweitern und den Inhalt zu überprüfen, darunter die Aktionen, die für jede IP-Adresse ausgeführt werden. Zum Beispiel:

   

2. Das erste Aktionselement, das Sie sehen, hat die Bezeichnung Verbindungen und hat ein orangefarbenes Warndreieck.

   Wenn stattdessen diese erste Aktion get an IP report (Preview) heißt, bedeutet dies, dass Sie bereits über eine Verbindung mit Virus Total verfügen und mit dem nächsten Schritt fortfahren können.

   1. Wählen Sie die Aktion Verbindungen aus, um sie zu öffnen.

   2. Wählen Sie das Symbol in der Spalte Ungültig für die angezeigte Verbindung aus.

      

      Sie werden zur Eingabe von Verbindungsinformationen aufgefordert.

      

   3. Geben Sie "Virus Total" als Verbindungsnamen ein.

   4. Kopieren Sie für x-api_key den API-Schlüssel aus Ihrem Virus Total-Konto, und fügen Sie ihn ein.

   5. Wählen Sie Aktualisieren aus.

   6. Nun wird die Aktion IP-Bericht abrufen (Vorschau) ordnungsgemäß angezeigt. (Wenn Sie bereits ein Virus Total-Konto hatten, befinden Sie sich bereits in dieser Phase.)

      

Autorisieren der Log Analytics-Verbindung

Die nächste Aktion ist eine Bedingung , die die restlichen Aktionen der for-each-Schleife basierend auf dem Ergebnis des IP-Adressberichts bestimmt. Es analysiert die Zuverlässigkeitsbewertung , die der IP-Adresse im Bericht zugewiesen wurde. Ein Wert über 0 gibt an, dass die Adresse harmlos ist; eine Bewertung niedriger als 0 (0 ) weist darauf hin, dass sie böswillig ist.

Unabhängig davon, ob die Bedingung wahr oder falsch ist, möchten wir die Daten im Bericht an eine Tabelle in Log Analytics senden, damit sie abgefragt und analysiert werden können, und dem Incident einen Kommentar hinzufügen.

Aber wie Sie sehen werden, haben wir mehr ungültige Verbindungen, die wir autorisieren müssen.

1. Wählen Sie im Frame True die Aktion Verbindungen aus.

2. Wählen Sie das Symbol in der Spalte Ungültig für die angezeigte Verbindung aus.

   

   Sie werden zur Eingabe von Verbindungsinformationen aufgefordert.

   

3. Geben Sie "Log Analytics" als Verbindungsnamen ein.

4. Kopieren Sie für Arbeitsbereichs-ID die ID, und fügen Sie sie von der Seite Übersicht der Log Analytics-Arbeitsbereichseinstellungen ein.

5. Wählen Sie Aktualisieren aus.

6. Jetzt wird die Aktion Daten senden korrekt angezeigt. (Wenn Sie bereits über eine Log Analytics-Verbindung von Logic Apps verfügten, sind Sie bereits in dieser Phase.)

   

7. Wählen Sie nun die Aktion Verbindungen im Frame False aus. Diese Aktion verwendet dieselbe Verbindung wie die im True-Frame.

8. Vergewissern Sie sich, dass die Verbindung mit dem Namen Log Analytics markiert ist, und wählen Sie Abbrechen aus. Dadurch wird sichergestellt, dass die Aktion jetzt ordnungsgemäß im Playbook angezeigt wird.

   

   Nun wird Ihr gesamtes Playbook angezeigt, das ordnungsgemäß konfiguriert ist.

9. Sehr wichtig! Vergessen Sie nicht, oben im Fenster des Logik-App-DesignersSpeichern auszuwählen. Nachdem Ihnen Benachrichtigungen angezeigt wurden, dass Ihr Playbook erfolgreich gespeichert wurde, sehen Sie Ihr Playbook auf der Registerkarte Active playbooks* auf der Automation-Seite.

Erstellen einer Automatisierungsregel

Um dieses Playbook nun tatsächlich auszuführen, müssen Sie eine Automatisierungsregel erstellen, die beim Erstellen von Incidents ausgeführt wird und das Playbook aufruft.

1. Wählen Sie auf der Seite Automation im oberen Banner + Erstellen aus. Wählen Sie im Dropdownmenü Automatisierungsregel aus.

   

2. Geben Sie der Regel im Bereich Neue Automatisierungsregel erstellen den Namen "Tutorial: Anreichern von IP-Informationen".

   

3. Wählen Sie unter Bedingungendie Option + Hinzufügen und Bedingung (Und) aus.

   

4. Wählen Sie in der Eigenschaften-Dropdownliste auf der linken Seite die Option IP-Adresse aus. Wählen Sie in der Operator-Dropdown-Liste Enthält aus, und lassen Sie das Wertfeld leer. Dies bedeutet, dass die Regel für Vorfälle gilt, die ein IP-Adressfeld enthalten, das alles enthält.

   Wir möchten nicht verhindern, dass Analyseregeln von dieser Automatisierung abgedeckt werden, aber wir möchten auch nicht, dass die Automatisierung unnötig ausgelöst wird. Daher beschränken wir die Abdeckung auf Incidents, die IP-Adressentitäten enthalten.

   

5. Wählen Sie unter Aktionen die Option Playbook ausführen aus der Dropdownliste aus.

6. Wählen Sie die neue Dropdownliste aus, die angezeigt wird.

   

   Sie sehen eine Liste aller Playbooks in Ihrem Abonnement. Die ausgegrauten Elemente sind die, auf die Sie keinen Zugriff haben. Geben Sie im Textfeld Playbooks durchsuchen den Namen – oder einen Teil des Namens – des Playbooks ein, das wir oben erstellt haben. Die Liste der Playbooks wird dynamisch mit jedem Buchstaben gefiltert, den Sie eingeben.

   

   Wenn Ihr Playbook in der Liste angezeigt wird, wählen Sie es aus.

   

   Wenn das Playbook ausgegraut ist, wählen Sie den Link Playbook-Berechtigungen verwalten aus (im kleingedruckten Absatz darunter, in dem Sie ein Playbook ausgewählt haben – siehe Screenshot oben). Wählen Sie in dem sich öffnenden Bereich in der Liste der verfügbaren Ressourcengruppen die Ressourcengruppe aus, die das Playbook enthält, und klicken Sie dann auf Übernehmen.

7. Wählen Sie erneut + Aktion hinzufügen aus. Wählen Sie nun in der angezeigten Dropdownliste für die neue Aktion Tags hinzufügen aus.

8. Wählen Sie + Tag hinzufügen aus. Geben Sie "Tutorial-Angereicherte IP-Adressen" als Tagtext ein, und wählen Sie OK aus.

   

9. Lassen Sie die übrigen Einstellungen unverändert, und wählen Sie Übernehmen aus.

Überprüfen einer erfolgreichen Automatisierung

1. Geben Sie auf der Seite Incidents den Tagtext Tutorial-Enriched IP addresses in die Suchleiste ein, und drücken Sie die EINGABETASTE, um die Liste nach Incidents mit diesem Tag zu filtern. Dies sind die Vorfälle, auf die unsere Automatisierungsregel angewendet wurde.

2. Öffnen Sie einen oder mehrere dieser Vorfälle, und überprüfen Sie, ob kommentare zu den IP-Adressen vorhanden sind. Das Vorhandensein dieser Kommentare deutet darauf hin, dass das Playbook für den Incident ausgeführt wurde.

Ressourcen bereinigen

Wenn Sie dieses Automatisierungsszenario nicht weiter verwenden möchten, löschen Sie das von Ihnen erstellte Playbook und die Automatisierungsregel mit den folgenden Schritten:

1. Wählen Sie auf der Seite Automatisierung die Registerkarte Aktive Playbooks aus.

2. Geben Sie den Namen (oder einen Teil des Namens) des Playbooks ein, das Sie in der Suchleiste erstellt haben.
   (Wenn sie nicht angezeigt wird, stellen Sie sicher, dass alle Filter auf Alle auswählen festgelegt sind.)

3. Aktivieren Sie das Kontrollkästchen neben Ihrem Playbook in der Liste, und wählen Sie Löschen im oberen Banner aus.
   (Wenn Sie es nicht löschen möchten, können Sie stattdessen Deaktivieren auswählen.)

4. Wählen Sie die Registerkarte Automatisierungsregeln aus.

5. Geben Sie den Namen (oder einen Teil des Namens) der Automatisierungsregel ein, die Sie in der Suchleiste erstellt haben.
   (Wenn sie nicht angezeigt wird, stellen Sie sicher, dass alle Filter auf Alle auswählen festgelegt sind.)

6. Aktivieren Sie das Kontrollkästchen neben Ihrer Automatisierungsregel in der Liste, und wählen Sie im oberen Banner Löschen aus.
   (Wenn Sie es nicht löschen möchten, können Sie stattdessen Deaktivieren auswählen.)

Verwandte Inhalte

Nachdem Sie nun gelernt haben, wie Sie ein einfaches Szenario zur Incident-Anreicherung automatisieren, können Sie mehr über die Automatisierung und andere Szenarien erfahren, für die Sie sie nutzen können.

• Sehen Sie sich weitere Beispiele für die Verwendung von Playbooks zusammen mit Automatisierungsregeln an.
• Tauchen Sie tiefer in das Hinzufügen von Aktionen zu Playbooks ein.
• Erkunden Sie einige grundlegende Automatisierungsszenarien , die keine Playbooks erfordern.