Usare le attività per gestire gli eventi imprevisti in Microsoft Sentinel nel portale di Azure

Questo articolo illustra come usare le attività degli eventi imprevisti in Microsoft Sentinel per standardizzare e tenere traccia dei passaggi che il team segue durante la valutazione, l'analisi e la risposta agli eventi imprevisti. È possibile aggiungere attività manualmente o automatizzare la creazione di attività usando regole di automazione e playbook.

Uno dei fattori più importanti nell'esecuzione delle operazioni di sicurezza (SecOps) in modo efficace ed efficiente è la standardizzazione dei processi. Si prevede che gli analisti secOps eseguano un elenco di passaggi o attività nel processo di valutazione, analisi o correzione di un evento imprevisto. Standardizzare e formalizzare l'elenco delle attività può aiutare a mantenere il SOC funzionante senza intoppi, garantendo che gli stessi requisiti si applichino a tutti gli analisti. Con questo processo standardizzato, indipendentemente da chi è di turno, un incidente riceverà sempre lo stesso trattamento e gli stessi SLA. Gli analisti non dovranno dedicare tempo a pensare a cosa fare o preoccuparsi di perdere un passaggio critico. Questi passaggi sono definiti dal responsabile del SOC o dagli analisti senior (livello 2/3) in base alle comuni conoscenze sulla sicurezza (ad esempio NIST), alla loro esperienza con gli eventi imprevisti precedenti o alle raccomandazioni fornite dal fornitore della sicurezza che ha rilevato l'evento imprevisto.

Quando usare le attività degli eventi imprevisti

• Gli analisti soc possono usare un unico elenco di controllo centrale per gestire i processi di valutazione, indagine e risposta degli eventi imprevisti, senza preoccuparsi di perdere un passaggio critico.

• I tecnici soc o gli analisti senior possono documentare, aggiornare e allineare gli standard di risposta agli eventi imprevisti tra i team e i turni degli analisti. Possono anche creare elenchi di controllo delle attività per formare nuovi analisti o analisti che riscontrano nuovi tipi di eventi imprevisti.

• In qualità di responsabile SOC o di MSSP, può assicurarsi che gli incidenti vengano gestiti in conformità con i relativi SLA/SOP.

Prerequisiti

Il ruolo risponditore Microsoft Sentinel è necessario per creare regole di automazione e per visualizzare e modificare gli eventi imprevisti, entrambi necessari per aggiungere, visualizzare e modificare attività.

Per creare e modificare i playbook, è necessario il ruolo Logic Apps Contributor.

Scenari di gestione delle attività degli eventi imprevisti

Scenari dell'analista

Segui le attività durante la gestione di un incidente

Quando si seleziona un evento imprevisto e si visualizzano i dettagli completi, nella pagina dei dettagli dell'evento imprevisto verranno visualizzate nel pannello di destra tutte le attività aggiunte all'evento imprevisto, sia manualmente che tramite regole di automazione.

Espandere un'attività per visualizzarne la descrizione completa, inclusi l'utente, la regola di automazione o il playbook che l'ha creata.

Per contrassegnare un'attività come completata, seleziona il cerchio della relativa casella di controllo.

Aggiungere attività a un evento imprevisto sul posto

È possibile aggiungere attività a un evento imprevisto aperto su cui si sta lavorando, per ricordarsi delle azioni che è necessario eseguire o per registrare azioni di propria iniziativa che non vengono visualizzate nell'elenco delle attività. Le attività aggiunte manualmente a un evento imprevisto si applicano solo a tale evento imprevisto.

Scenari per il creatore di workflow

Aggiungi attività agli incidenti con regole di automazione

Usare l'azione Aggiungi attività nelle regole di automazione per fornire automaticamente a tutti gli eventi imprevisti un elenco di controllo delle attività per gli analisti. Impostare la condizione del nome della regola di Analisi nella regola di automazione per determinare l'ambito:

• Applicare la regola di automazione a tutte le regole di analisi per definire un set standard di attività da applicare a tutti gli eventi imprevisti.

• Applicando la regola di automazione a un set limitato di regole di analisi, è possibile assegnare attività specifiche a eventi imprevisti specifici, in base alle minacce rilevate dalla regola o dalle regole di analisi che hanno generato tali eventi imprevisti.

Tieni presente che l'ordine in cui le attività appaiono nel tuo incidente è determinato dal momento di creazione delle attività. È possibile impostare l'ordine delle regole di automazione in modo che le regole che aggiungono le attività necessarie per tutti gli eventi imprevisti vengano eseguite per prime e solo dopo tutte le regole che aggiungono le attività necessarie per gli eventi imprevisti generati da regole di analisi specifiche. All'interno di una singola regola, l'ordine in cui vengono definite le azioni determina l'ordine in cui vengono visualizzate in un evento imprevisto.

Prima di creare una nuova regola di automazione, vedere quali eventi imprevisti sono coperti da regole e attività di automazione esistenti.
Usare il filtro Azione nell'elenco regole di automazione per visualizzare solo le regole che aggiungono attività agli eventi imprevisti e vedere a quali regole di analisi si applicano tali regole di automazione per comprendere a quali eventi imprevisti verranno aggiunte tali attività.

Aggiungere attività agli incidenti tramite playbook

Usare l'azione Aggiungi attività in un playbook (nel connettore Microsoft Sentinel) per aggiungere automaticamente un'attività all'evento imprevisto che ha attivato il playbook.

Usa quindi altre azioni del playbook, nei rispettivi connettori di Logic Apps, per completare il contenuto dell'attività.

Infine, usare l'azione Contrassegna l'attività come completata (di nuovo nel connettore Microsoft Sentinel) per contrassegnare automaticamente il completamento dell'attività.

Si considerino gli scenari seguenti come esempi:

• Consenti ai playbook di aggiungere e completare attività: Quando viene creato un evento imprevisto, viene attivato un playbook che esegue le operazioni seguenti:

  1. Aggiunge un'attività all'incidente per reimpostare la password dell'utente.
  2. Esegue l'attività effettuando una chiamata API al sistema di provisioning degli utenti per reimpostare la password dell'utente.
  3. Attende una risposta dal sistema sull'esito positivo o negativo della reimpostazione.
     • Se la reimpostazione della password è riuscita, il playbook contrassegna l'attività appena creata nell'evento imprevisto come completata.
     • Se la reimpostazione della password non è riuscita, il playbook non contrassegnerà l'attività come completata, lasciandola a un analista da eseguire.

• Consenti al playbook di valutare se è necessario aggiungere attività condizionali: Quando viene creato un incidente, si attiva un playbook che richiede un report sull'indirizzo IP da una fonte esterna di threat intelligence.

  • Se l'indirizzo IP è dannoso, il playbook aggiunge una determinata attività (ad esempio, "Blocca questo indirizzo IP").
  • In caso contrario, il playbook non intraprende ulteriori azioni.

Vuoi usare regole di automazione o playbook per aggiungere attività?

Quali considerazioni devono determinare se le regole di automazione o i playbook devono essere usati per creare attività impreviste?

• Regole di automazione: usare quando possibile. Usare per attività semplici e statiche che non richiedono interattività.
• Playbook: usare per casi d'uso avanzati, ovvero la creazione di attività in base alle condizioni o di attività con azioni automatizzate integrate.

Passaggi successivi

• Informazioni su come gli analisti possono usare le attività per gestire il flusso di lavoro degli eventi imprevisti in Microsoft Sentinel.
• Altre informazioni sull'analisi degli eventi imprevisti in Microsoft Sentinel.
• Scopri come aggiungere attività automaticamente ai gruppi di incidenti usando regole di automazione o playbook.
• Altre informazioni sulle regole di automazione e su come creare e gestire regole di automazione.
• Altre informazioni sui playbook e su come creare playbook.