Automatize e execute guias estratégicos do Microsoft Sentinel

Playbooks são coleções de procedimentos que podem ser executados a partir do Microsoft Sentinel em resposta a um incidente inteiro, a um alerta individual ou a uma entidade específica. Um guia estratégico pode ajudar a automatizar e orquestrar sua resposta e pode ser definido para ser executado automaticamente quando alertas específicos são gerados ou quando incidentes são criados ou atualizados, sendo anexados a uma regra de automação. Ele também pode ser executado manualmente sob demanda em incidentes, alertas ou entidades específicos.

Este artigo descreve como anexar guias estratégicos a regras de análise ou regras de automação ou executar guias estratégicos manualmente em incidentes, alertas ou entidades específicos.

Pré-requisitos

Antes de começar, verifique se você tem um guia estratégico disponível para automatizar ou executar, com um gatilho, condições e ações definidos. Para obter mais informações, veja Criar e gerenciar manuais do Microsoft Sentinel.

Funções do Azure necessárias para executar do guias estratégicos

Para executar guias estratégicos, você precisa das seguintes funções do Azure:

Para obter mais informações, consulte os pré-requisitos do guia estratégico.

Permissões extras necessárias para executar manuais sobre incidentes

O Microsoft Sentinel usa uma conta de serviço para executar guias estratégicos em incidentes, aumentar a segurança e habilitar a API de regras de automação para dar suporte a casos de uso de CI/CD. Essa conta de serviço é usada para manuais acionados por incidentes ou quando você executa um manual manualmente em um incidente específico.

Além de suas próprias funções e permissões, essa conta de serviço do Microsoft Sentinel deve ter seu próprio conjunto de permissões no grupo de recursos onde o guia estratégico reside, na forma da função Microsoft Sentinel Automation Contributor . Depois que o Microsoft Sentinel tiver essa função, ele poderá executar qualquer guia estratégico no grupo de recursos relevante, manualmente ou com uma regra de automação.

Para conceder ao Microsoft Sentinel as permissões necessárias, você deve ter uma função de Proprietário ou Administrador de acesso de usuário. Para executar os manuais, também precisará da função Colaborador de Aplicações Lógicas no grupo de recursos que contém os manuais que pretende executar.

Configurar permissões do guia estratégico para incidentes em uma implantação multilocatária

Em uma implantação multilocatária, se o guia estratégico que você deseja executar estiver em um locatário diferente, você deverá conceder à conta de serviço do Microsoft Sentinel permissão para executar o guia estratégico no locatário do guia estratégico.

1. No menu de navegação do Microsoft Sentinel, no locatário dos guias estratégicos, selecione Configurações.

2. Na página Configurações, selecione a guia Configurações e, em seguida, o expansor de permissões do Playbook.

3. Selecione o botão Configurar permissões para abrir o painel Gerenciar permissões .

4. Marque as caixas de seleção dos grupos de recursos que contêm os playbooks que você deseja executar e selecione Aplicar. Por exemplo:

   

Você mesmo deve ter permissões de Proprietário em qualquer grupo de recursos ao qual deseja conceder permissões do Microsoft Sentinel e deve ter a função Operador de Playbook do Microsoft Sentinel em qualquer grupo de recursos que contenha playbooks que você deseja executar.

Se, em um cenário MSSP, você deseja executar um playbook em um locatário do cliente a partir de uma regra de automação criada quando estiver conectado ao locatário do provedor de serviços, você deve conceder permissão ao Microsoft Sentinel para executar o playbook nos dois locatários.

• No locatário do cliente, siga as instruções padrão para a implantação multilocatário.

• No locatário do fornecedor de serviços, adicione a aplicação Azure Security Insights no seu modelo de integração do Azure Lighthouse da seguinte forma:

  1. No portal do Azure, acesse a ID do Microsoft Entra e selecione aplicativos Empresariais.
  2. Selecione o tipo de aplicativo e o filtro em Aplicativos da Microsoft.
  3. Na caixa de pesquisa, insira o Azure Security Insights.
  4. Copie o campo ID do Objeto. Você precisa adicionar essa autorização extra à delegação existente do Azure Lighthouse.

A função Colaborador de Automação do Microsoft Sentinel tem um GUID fixo de f4c81013-99ee-4d62-a7ee-b3f1f648599a. Uma autorização de exemplo do Azure Lighthouse seria semelhante a esta no modelo de parâmetros:

{
"principalId": "<Enter the Azure Security Insights app Object ID>", 
"roleDefinitionId": "f4c81013-99ee-4d62-a7ee-b3f1f648599a",
"principalIdDisplayName": "Microsoft Sentinel Automation Contributors" 
}

Automatizar respostas a incidentes e alertas

Para responder automaticamente a incidentes inteiros ou alertas individuais com um guia estratégico, crie uma regra de automação executada quando o incidente é criado ou atualizado ou quando o alerta é gerado. Essa regra de automação inclui uma etapa que chama o guia estratégico que você deseja usar.

Para criar uma regra de automação:

1. Na página Automação no menu de navegação do Microsoft Sentinel, selecione Criar no menu superior e, em seguida, a regra de Automação. Por exemplo:

   

2. O painel Criar nova regra de automação é aberto. Digite um nome para a sua regra. Suas opções diferem dependendo se o workspace está integrado ao portal do Microsoft Defender. Por exemplo:

   • Workspaces integrados
   • Espaços de trabalho que não estão integrados

   

3. Gatilho: Selecione o gatilho apropriado de acordo com a circunstância para a qual você está criando a regra de automação – quando o incidente é criado, quando o incidente é atualizado ou quando o alerta é criado.

4. Condições:

   1. Se o workspace ainda não estiver integrado ao portal do Defender, os incidentes poderão ter duas fontes possíveis:

      • Incidentes podem ser criados no Microsoft Sentinel
      • Os incidentes podem ser importados e sincronizados com o Microsoft Defender XDR.

      Se você selecionou um dos gatilhos de incidente e deseja que a regra de automação entre em vigor somente em incidentes originados no Microsoft Sentinel ou, como alternativa, no Microsoft Defender XDR, especifique a origem na condição Se o provedor de incidentes for igual a.

      Essa condição será exibida somente se um gatilho de incidente estiver selecionado e seu workspace não estiver integrado ao portal do Defender.

   2. Para todos os tipos de gatilho, se você quiser que a regra de automação entre em vigor somente em determinadas regras de análise, especifique quais delas modificando a condição Se o nome da regra de análise contiver.

   3. Adicione outras condições que você deseja determinar se essa regra de automação é executada. Selecione + Adicionar e selecione condições ou grupos de condições na lista suspensa. A lista de condições é preenchida por detalhes de alerta e campos de identificador de entidade.

5. Ações:

   1. Como você está usando essa regra de automação para executar um guia estratégico, selecione a ação Executar guia estratégico na lista suspensa. Em seguida, você será solicitado a selecionar em uma segunda lista suspensa que mostra os guia estratégico disponíveis. Uma regra de automação pode executar somente os guias estratégicos que começam com o mesmo gatilho (incidente ou alerta) que o gatilho definido na regra, portanto, somente esses guias estratégicos aparecem na lista.

      Se um guia estratégico aparecer esmaecido na lista suspensa, significa que o Microsoft Sentinel não tem permissão para o grupo de recursos desse guia estratégico. Selecione o link Gerenciar permissões do playbook para atribuir permissões.

      No painel Gerenciar permissões que é aberto, marque as caixas de seleção dos grupos de recursos que contêm os guias estratégicos que você deseja executar e selecione Aplicar. Por exemplo:

      

      Você mesmo deve ter permissões de Proprietário em qualquer grupo de recursos ao qual deseja conceder permissões do Microsoft Sentinel e deve ter a função Operador de Playbook do Microsoft Sentinel em qualquer grupo de recursos que contenha playbooks que você deseja executar.

      Para obter mais informações, veja Permissões extras necessárias para executar guias estratégicos em incidentes.

   2. Adicione outras ações desejadas para essa regra. Você pode alterar a ordem de execução de ações selecionando as setas para cima ou para baixo à direita de qualquer ação.

6. Defina uma data de validade para sua regra de automação se desejar que ela tenha uma.

7. Insira um número em Ordem para determinar onde, na sequência de regras de automação, essa regra é executada.

8. Selecione Aplicar para concluir sua automação.

Para obter mais informações, veja Criar e gerenciar manuais do Microsoft Sentinel.

Responder a alertas — método herdado

Outra maneira de executar guias estratégicos automaticamente em resposta aos alertas é chamá-los a partir de uma regra de análise. Quando a regra gera um alerta, o guia estratégico é executado.

Esse método será preterido a partir de março de 2026.

A partir de junho de 2023, você não pode mais adicionar guias estratégicos às regras de análise dessa maneira. No entanto, você ainda pode ver os guias estratégicos existentes chamados de regras de análise, que ainda serão executados até março de 2026. Recomendamos fortemente que você crie regras de automação para chamar esses guias estratégicos antes disso.

Execute um guia estratégico manualmente, sob demanda

Você também pode executar manualmente um guia estratégico sob demanda, seja em resposta a alertas, incidentes ou entidades. Isso pode ser útil em situações em que você deseja mais entrada humana e controle sobre processos de orquestração e resposta.

Executar um guia estratégico manualmente em um alerta

Este procedimento não tem suporte no portal do Defender.

No portal do Azure, selecione uma das seguintes guias conforme necessário para seu ambiente:

Você pode ver o histórico de execução de guias estratégicos em um alerta selecionando a guia Execuções no painel Guias estratégicos de alerta. Pode levar alguns segundos para execuções recém-concluídas apareçam na lista. Selecionar uma execução específica abre o log de execução completo nos Aplicativos Lógicos.

Executar um guia estratégico manualmente em um incidente

Esse procedimento é diferente, dependendo se você estiver trabalhando no portal do Azure ou no portal do Defender. Selecione a aba relevante para seu ambiente:

Exiba o histórico de execução de guias estratégicos em um incidente selecionando a guia Execuções no painel Executar o guia estratégico sobre incidentes. Pode levar alguns segundos para execuções recém-concluídas apareçam na lista. Selecionar uma execução específica abre o log de execução completo nos Aplicativos Lógicos.

Executar um guia estratégico manualmente em uma entidade

Este procedimento não tem suporte no portal do Defender.

Selecione uma entidade de uma das seguintes maneiras, dependendo do contexto de origem:

Independentemente do contexto de onde você veio, a última etapa deste procedimento é no painel Executar guia estratégico no <tipo de entidade>. Este painel mostra uma lista de todos os guias estratégicos aos quais você tem acesso e que foram configurados com o gatilho Microsoft Sentinel Entity Aplicativos Lógicos do Azure para o tipo de entidade selecionado.

No painel *Executar guia estratégico em <tipo de entidade>, selecione a guia Execuções para ver o histórico de execução do guia estratégico para uma determinada entidade. Pode levar alguns segundos para execuções recém-concluídas apareçam na lista. Selecionar uma execução específica abre o log de execução completo nos Aplicativos Lógicos.

Conteúdo relacionado

Para obter mais informações, consulte:

• Criar e gerenciar guias estratégicos do Microsoft Sentinel
• Automatizar a resposta a ameaças no Microsoft Sentinel com regras de automação