Tutorial: Extrahieren von Incidententitäten mit nicht nativen Aktionen

Entitätszuordnungen reichern Warnungen und Vorfälle mit Informationen an, die für alle folgenden Untersuchungsprozesse und Abhilfemaßnahmen unerlässlich sind.

Microsoft Sentinel Playbooks enthalten die folgenden nativen Aktionen zum Extrahieren von Entitätsinformationen:

• Konten
• DNS
• Dateihashes
• Hosts
• Ips
• URLs

Zusätzlich zu diesen Aktionen enthält die Analyseregelentitätszuordnung Entitätstypen, die keine nativen Aktionen sind, z. B. Schadsoftware, Prozess, Registrierungsschlüssel, Postfach usw. In diesem Tutorial erfahren Sie, wie Sie mit nicht nativen Aktionen arbeiten, indem Sie verschiedene integrierte Aktionen verwenden, um die relevanten Werte zu extrahieren.

In diesem Tutorial wird Folgendes vermittelt:

Voraussetzungen

Stellen Sie für dieses Tutorial sicher, dass Sie über Folgendes verfügen:

• Ein Azure-Abonnement. Erstellen Sie ein kostenloses Konto , falls Sie noch kein Konto besitzen.

• Ein Azure Benutzer, dem die folgenden Rollen für die folgenden Ressourcen zugewiesen sind:

  • Microsoft Sentinel Contributor im Log Analytics-Arbeitsbereich, in dem Microsoft Sentinel bereitgestellt ist.
  • Mitwirkender für Logic Apps und Besitzer oder eine gleichwertige Rolle für die Ressourcengruppe, die das in diesem Tutorial erstellte Playbook enthalten wird.

• Ein (kostenloses) VirusTotal-Konto reicht für dieses Tutorial aus. Eine Produktionsimplementierung erfordert ein VirusTotal Premium-Konto.

Erstellen Sie ein Playbook mit einem Incident-Trigger

1. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Konfigurationsautomatisierung aus>. Wählen Sie für Microsoft Sentinel im Azure-Portal die Seite Konfigurationsautomatisierung> aus.

2. Wählen Sie auf der Seite AutomatisierungErstellen>Playbook mit Vorfallauslöser aus.

3. Wählen Sie im Assistenten zum Erstellen eines Playbooks unter Grundlagen das Abonnement und die Ressourcengruppe aus, und geben Sie dem Playbook einen Namen.

4. Wählen Sie Weiter: Verbindungen > aus.

   Unter Verbindungen sollte die Verbindung Microsoft Sentinel - Mit verwalteter Identität verbinden sichtbar sein. Zum Beispiel:

   

5. Wählen Sie Weiter: Prüfen und erstellen >.

6. Wählen Sie unter Überprüfen und erstellen die Option Erstellen und mit dem Designer fortfahren aus.

   Der Designer für Logik-Apps öffnet eine Logik-App mit dem Namen Ihres Playbooks.

   

Initialisieren einer Arrayvariablen

1. Wählen Sie im Logik-App-Designer unter dem Schritt, in dem Sie eine Variable hinzufügen möchten, die Option Neuer Schritt aus.

2. Geben Sie im Suchfeld unter Vorgang auswählenVariablen als Filter ein. Wählen Sie in der Liste der Aktionen Variable initialisieren aus.

3. Geben Sie diese Informationen zu Ihrer Variablen an:

   1. Verwenden Sie für den Variablennamen Entitäten.

   2. Wählen Sie für den Typ Array aus.

   3. Bewegen Sie für den Wert den Mauszeiger über das Feld Wert, und wählen Sie fx in der blauen Symbolgruppe auf der linken Seite aus.

      

   4. Wählen Sie im daraufhin geöffneten Dialogfeld die Registerkarte Dynamischer Inhalt aus, und geben Sie im Suchfeld Entitäten ein.

   5. Wählen Sie in der Liste Entitäten und dann Hinzufügen aus.

      

Auswählen eines vorhandenen Incidents

1. Navigieren Sie Microsoft Sentinel zu Incidents, und wählen Sie einen Incident aus, für den Sie das Playbook ausführen möchten.

2. Wählen Sie rechts auf der Incident-Seite Aktionen > Playbook ausführen (Vorschau) aus.

3. Wählen Sie unter Playbooks neben dem von Ihnen erstellten Playbookdie Option Ausführen aus.

   Wenn das Playbook ausgelöst wird, ist oben rechts die Meldung Playbook wurde erfolgreich ausgelöst sichtbar.

4. Wählen Sie Ausführungen aus, und wählen Sie neben Ihrem Playbook Ausführung anzeigen aus.

   Die Seite „Ausführung der Logik-App“ ist sichtbar.

5. Unter Variable initialisieren ist die Beispielnutzlast unter Wert sichtbar. Beachten Sie die Beispielnutzlast zur späteren Verwendung.

   

Filtern des erforderlichen Entitätstyps aus anderen Entitätstypen

1. Navigieren Sie zurück zur Seite Automation , und wählen Sie Ihr Playbook aus.

2. Wählen Sie unter dem Schritt, in dem Sie eine Variable hinzufügen möchten, die Option Neuer Schritt aus.

3. Geben Sie unter Aktion auswählen im Suchfeld Filterarray als Filter ein. Wählen Sie in der Liste der Aktionen Die Option Datenvorgänge aus.

   

4. Geben Sie diese Informationen zu Ihrem Filterarray an:

   1. Wählen Sie unter Aus>dynamischem Inhalt die Variable Entitäten aus, die Sie zuvor initialisiert haben.

   2. Wählen Sie das erste „Wert auswählen“-Feld (links) aus und wählen Sie dann Ausdruck aus.

   3. Fügen Sie den Wert item()?['kind'] ein und wählen Sie OK aus.

      

   4. Belassen Sie den gleich-Wert (ändern Sie diesen nicht).

   5. Geben Sie im zweiten Feld Wert auswählen (rechts) den Text Process ein. Dies muss eine genaue Übereinstimmung mit dem Wert im System sein.

      Hinweis

      Bei dieser Abfrage wird die Groß-/Kleinschreibung beachtet. Stellen Sie sicher, dass der kind Wert mit dem Wert in der Beispielnutzlast übereinstimmt. Sehen Sie sich die Beispielnutzlast an, wenn Sie ein Playbook erstellen.

      

Die Ergebnisse in eine JSON-Datei umwandeln

1. Wählen Sie in Ihrer Logik-App unter dem Schritt, in dem Sie eine Variable hinzufügen möchten, die Option Neuer Schritt aus.

2. Wählen Sie Datenvorgänge>JSON analysieren aus.

   

3. Geben Sie diese Informationen zu Ihrem Vorgang an:

   1. Wählen Sie Inhalt und unter Dynamischer Inhalt>Array filtern die Option Textkörper aus.

      

   2. Fügen Sie unter Schema ein JSON-Schema ein, damit Sie Werte aus einem Array extrahieren können. Kopieren Sie die Beispielnutzlast, die Sie beim Erstellen des Playbooks generiert haben.

      

   3. Kehren Sie zum Playbook zurück, und wählen Sie Beispielnutzlast zum Generieren eines Schemas verwenden aus.

      

   4. Fügen Sie die Nutzlast ein. Fügen Sie am Anfang des Schemas eine öffnende eckige Klammer ([) hinzu, und schließen Sie sie am Ende des Schemas ].

      

      

   5. Wählen Sie Fertig aus.

Verwenden der neuen Werte als dynamischer Inhalt für die zukünftige Verwendung

Sie können nun die von Ihnen erstellten Werte als dynamischen Inhalt für weitere Aktionen verwenden. Wenn Sie beispielsweise eine E-Mail mit Prozessdaten senden möchten, finden Sie die Aktion JSON analysieren unter Dynamischer Inhalt, wenn Sie den Aktionsnamen nicht geändert haben.

Stellen Sie sicher, dass Ihr Playbook gespeichert ist.

Stellen Sie sicher, dass das Playbook gespeichert ist und Sie ihr Playbook jetzt für SOC-Vorgänge verwenden können.

Nächste Schritte

Fahren Sie mit dem nächsten Artikel fort, um zu erfahren, wie Sie Incidentaufgaben in Microsoft Sentinel mithilfe von Playbooks erstellen und ausführen.