Usare le attività degli eventi imprevisti in Microsoft Sentinel nel portale di Azure

Questo articolo illustra come gli analisti soc possono usare le attività degli eventi imprevisti per gestire i processi del flusso di lavoro di gestione degli eventi imprevisti in Microsoft Sentinel nel portale di Azure.

Le attività degli eventi imprevisti vengono in genere create automaticamente da regole di automazione o playbook configurati da analisti senior o manager SOC, ma gli analisti di livello inferiore possono creare le proprie attività sul posto, manualmente, direttamente dall'interno dell'evento imprevisto.

È possibile visualizzare l'elenco delle attività che è necessario eseguire per un evento imprevisto specifico nella pagina dei dettagli dell'evento imprevisto e contrassegnarle come complete man mano che si procede.

Casi d'uso per ruoli diversi

Questo articolo tratta i seguenti scenari, che riguardano gli analisti SOC:

• Visualizza e segui le attività degli incidenti
• Aggiungere manualmente un'attività ad hoc a un evento imprevisto

Altri articoli sui collegamenti seguenti riguardano scenari che si applicano maggiormente ai manager soc, agli analisti senior e ai tecnici di automazione:

• Visualizzare le regole di automazione con le azioni delle attività degli eventi imprevisti
• Aggiungi attività agli incidenti con regole di automazione
• Aggiungi attività agli incidenti con playbook

Prerequisiti

Il ruolo risponditore Microsoft Sentinel è necessario per creare regole di automazione e per visualizzare e modificare gli eventi imprevisti, entrambi necessari per aggiungere, visualizzare e modificare attività.

Visualizza e segui le attività degli incidenti

Eseguire la procedura seguente per visualizzare e seguire le attività per un evento imprevisto:

1. Nella pagina Eventi imprevisti selezionare un evento imprevisto dall'elenco e selezionare Visualizza dettagli completi in Attività nel pannello dei dettagli oppure selezionare Visualizza dettagli completi nella parte inferiore del pannello dei dettagli.

   

2. Se si è scelto di immettere la pagina dei dettagli completa, selezionare Attività nel banner superiore.

   

3. Il pannello Attività impreviste verrà aperto sul lato destro della schermata in cui ci si trovava (la pagina principale degli eventi imprevisti o la pagina dei dettagli dell'evento imprevisto). Verrà visualizzato l'elenco delle attività definite per questo incidente, insieme alle informazioni su come o da chi sono state create, ovvero manualmente oppure da una regola di automazione o da un playbook.

   

4. Le attività con descrizioni verranno contrassegnate con una freccia di espansione. Espandere un'attività per visualizzarne la descrizione completa.

   

5. Contrassegnare un'attività completata contrassegnando il cerchio accanto al nome dell'attività. Nel cerchio apparirà un segno di spunta e il testo dell’attività sarà visualizzato in grigio. Consulta l’esempio “Reimposta la password dell’utente” nelle schermate sopra.

Aggiungere manualmente un'attività ad hoc a un evento imprevisto

È anche possibile aggiungere attività per se stessi, sul posto, all'elenco di attività di un evento imprevisto. Questa attività si applicherà solo all'incidente aperto. Questo aiuta se la tua indagine ti porta in nuove direzioni e pensi a cose nuove che devi controllare. L'aggiunta di queste attività come attività garantisce che non si dimentichi di eseguirle e che ci sia un record di ciò che hai fatto, di cui altri analisti e manager possono trarre vantaggio.

1. Selezionare + Aggiungi attività nella parte superiore del pannello Attività impreviste .

   

2. Se si sceglie, immettere un titolo per l'attività e una descrizione .

   

3. Al termine, selezionare Salva .

   

4. Visualizza la nuova attività in fondo all'elenco delle attività. Si noti che le attività create manualmente hanno una banda di colori diversa sul bordo sinistro e che il nome viene visualizzato come Creato da: sotto il titolo e la descrizione dell'attività.

   

Passaggi successivi

• Scopri di più sulle attività relative agli incidenti.
• Informazioni su come analizzare gli eventi imprevisti.
• Scopri come aggiungere automaticamente attività a gruppi di incidenti usando regole di automazione o playbook e quando usare regole di automazione o playbook per aggiungere attività.
• Informazioni su come tenere traccia delle attività.
• Altre informazioni sulle regole di automazione e su come creare e gestire regole di automazione.
• Scopri di più sui playbook e su come creare playbook per rispondere alle minacce.