Arbeiten mit Incidentaufgaben in Microsoft Sentinel im Azure-Portal

In diesem Artikel wird erläutert, wie SOC-Analysten Incidenttasks verwenden können, um ihre Workflowprozesse zur Incidentbehandlung in Microsoft Sentinel im Azure-Portal zu verwalten.

Incident-Aufgaben werden in der Regel automatisch durch Automatisierungsregeln oder Playbooks erstellt, die von Senior-Analysten oder SOC-Managern eingerichtet wurden. Analysten der unteren Stufen können ihre eigenen Aufgaben jedoch auch direkt und manuell im Incident erstellen.

Sie können die Liste der Aufgaben, die Sie für einen bestimmten Incident ausführen müssen, auf der Seite mit den Incidentdetails anzeigen und diese als abgeschlossen markieren.

Anwendungsfälle für verschiedene Rollen

In diesem Artikel werden die folgenden Szenarien behandelt, die für SOC-Analysten gelten:

• Incident-Aufgaben anzeigen und verfolgen
• Manuelles Hinzufügen einer Ad-hoc-Aufgabe zu einem Incident

Weitere Artikel unter den folgenden Links behandeln Szenarien, die mehr für SOC-Manager, Senior Analysts und Automatisierungstechniker gelten:

• Automatisierungsregeln mit Incident-Task-Aktionen anzeigen
• Hinzufügen von Aufgaben zu Incidents mit Automatisierungsregeln
• Hinzufügen von Aufgaben zu Incidents mit Playbooks

Voraussetzungen

Die rolle "Microsoft Sentinel Responder" ist erforderlich, um Automatisierungsregeln zu erstellen und Incidents anzuzeigen und zu bearbeiten, die beide zum Hinzufügen, Anzeigen und Bearbeiten von Aufgaben erforderlich sind.

Aufgaben zu Incidents anzeigen und verfolgen

Führen Sie die folgenden Schritte aus, um Aufgaben zu einem Vorfall anzuzeigen und auszuführen:

1. Wählen Sie auf der Seite Incidents einen Incident aus der Liste aus, und wählen Sie im Detailbereich unter Aufgaben die Option Vollständige Details anzeigen aus, oder wählen Sie unten im Detailbereich vollständige Details anzeigen aus.

   

2. Wenn Sie sich für die vollständige Detailseite entschieden haben, wählen Sie im oberen Banner Aufgaben aus.

   

3. Der Bereich Incidentaufgaben wird auf der rechten Seite des Bildschirms geöffnet, auf dem Sie sich befanden (die Hauptseite für Incidents oder die Seite mit den Incidentdetails). Sie sehen die Liste der für diesen Vorfall definierten Aufgaben zusammen mit der Information, wie bzw. von wem sie erstellt wurden – ob manuell, durch eine Automatisierungsregel oder durch ein Playbook.

   

4. Die Aufgaben mit Beschreibungen werden mit einem Erweiterungspfeil markiert. Erweitern Sie eine Aufgabe, um die vollständige Beschreibung anzuzeigen.

   

5. Markieren Sie eine Aufgabe als abgeschlossen, indem Sie den Kreis neben dem Vorgangsnamen markieren. Im Kreis wird ein Häkchen angezeigt, und der Text der Aufgabe ist abgeblendet. Sehen Sie sich das Beispiel "Zurücksetzen des Benutzerkennworts" in den obigen Screenshots an.

Manuelles Hinzufügen einer Ad-hoc-Aufgabe zu einem Incident

Sie können auch aufgaben für sich selbst vor Ort zur Aufgabenliste eines Incidents hinzufügen. Diese Aufgabe wird nur auf den offenen Incident angewendet. Dies hilft, wenn Ihre Untersuchung Sie in neue Richtungen führt und Sie an neue Dinge denken, die Sie überprüfen müssen. Wenn Sie diese Aufgaben als Aufgaben hinzufügen, wird sichergestellt, dass Sie nicht vergessen, sie zu erledigen, und dass es eine Aufzeichnung ihrer Aktivitäten gibt, von denen andere Analysten und Manager profitieren können.

1. Wählen Sie oben im Bereich Incident-Aufgaben die Option + Aufgabe hinzufügen aus.

   

2. Geben Sie einen Titel für Ihre Aufgabe und ggf. eine Beschreibung ein.

   

3. Wählen Sie Speichern aus, wenn Sie fertig sind.

   

4. Sehen Sie sich Ihre neue Aufgabe am Ende der Aufgabenliste an. Beachten Sie, dass manuell erstellte Aufgaben ein anderes Farbband am linken Rand aufweisen und Ihr Name unter dem Aufgabentitel und der Beschreibung als Erstellt von angezeigt wird.

   

Nächste Schritte

• Erfahren Sie mehr über Aufgaben bei Vorfällen.
• Erfahren Sie, wie Sie Incidents untersuchen.
• Erfahren Sie, wie Sie Gruppen von Vorfällen Aufgaben automatisch mithilfe von Automatisierungsregeln oder Playbooks hinzufügen und wann Automatisierungsregeln oder Playbooks zum Hinzufügen von Aufgaben verwendet werden.
• Erfahren Sie , wie Sie Ihre Aufgaben nachverfolgen.
• Erfahren Sie mehr über Automatisierungsregeln und das Erstellen und Verwalten von Automatisierungsregeln.
• Erfahren Sie mehr über Playbooks und wie Sie Playbooks erstellen, um auf Bedrohungen zu reagieren.