أتمتة الاستجابة للتهديدات باستخدام أدلة المبادئ في Microsoft Sentinel

يتعامل محللو SOC مع العديد من التنبيهات والحوادث الأمنية، ويمكن أن يطغى الحجم الهائل على الفرق، ما يؤدي إلى تجاهل التنبيهات والحوادث التي لم يتم استثمارها. يمكن معالجة العديد من التنبيهات والحوادث من خلال نفس مجموعات إجراءات المعالجة المحددة مسبقا، والتي يمكن أتمتتها لجعل SOC أكثر كفاءة وتحرير المحللين لإجراء تحقيقات أعمق.

استخدم أدلة مبادئ Microsoft Sentinel لتشغيل مجموعات مكونة مسبقا من إجراءات المعالجة للمساعدة في أتمتة الاستجابة للمخاطر وتنسيقها. قم بتشغيل أدلة المبادئ تلقائيا، استجابة لتنبيهات وحوادث محددة تؤدي إلى تشغيل قاعدة أتمتة مكونة، أو يدويا أو عند الطلب لكيان أو تنبيه معين.

على سبيل المثال، إذا تم اختراق حساب وجهاز، يمكن لدليل المبادئ عزل الجهاز تلقائيا عن الشبكة وحظر الحساب بحلول الوقت الذي يتم فيه إعلام فريق SOC بالحادث.

يسرد الجدول التالي حالات الاستخدام عالية المستوى حيث نوصي باستخدام أدلة مبادئ Microsoft Sentinel لأتمتة استجابتك للمخاطر:

لمزيد من المعلومات، راجع حالات استخدام دليل المبادئ الموصى به والقوالب والأمثلة.

الأدوار التالية مطلوبة لاستخدام Azure Logic Apps لإنشاء وتشغيل أدلة المبادئ في Microsoft Sentinel.

يصف الجدول التالي الأدوار المطلوبة استنادا إلى ما إذا كنت تحدد Consumption أو Standard logic app لإنشاء دليل المبادئ الخاص بك:

تعرض علامة التبويب أدلة المبادئ النشطة في صفحة التنفيذ التلقائي جميع أدلة المبادئ النشطة المتوفرة عبر أي اشتراكات محددة. بشكل افتراضي، يمكن استخدام دليل المبادئ فقط ضمن الاشتراك الذي ينتمي إليه، ما لم تمنح أذونات Microsoft Sentinel لمجموعة موارد دليل المبادئ على وجه التحديد.

يستخدم Microsoft Sentinel حساب خدمة لتشغيل أدلة المبادئ على الحوادث، لإضافة الأمان وتمكين واجهة برمجة تطبيقات قواعد التشغيل التلقائي لدعم حالات استخدام CI/CD. يتم استخدام حساب الخدمة هذا لدلائل المبادئ المشغلة بالحوادث، أو عند تشغيل دليل المبادئ يدويا على حدث معين.

بالإضافة إلى الأدوار والأذونات الخاصة بك، يجب أن يكون لحساب خدمة Microsoft Sentinel هذا مجموعة الأذونات الخاصة به على مجموعة الموارد حيث يوجد دليل المبادئ، في شكل دور Microsoft Sentinel Automation Contributor . بمجرد أن يكون ل Microsoft Sentinel هذا الدور، يمكنه تشغيل أي دليل مبادئ في مجموعة الموارد ذات الصلة، يدويا أو من قاعدة التنفيذ التلقائي.

لمنح Microsoft Sentinel الأذونات المطلوبة، يجب أن يكون لديك دور مسؤول وصول المالك أو المستخدم. لتشغيل أدلة المبادئ، ستحتاج أيضا إلى دور Logic App Contributor في مجموعة الموارد التي تحتوي على أدلة المبادئ التي تريد تشغيلها.

يتم إنشاء قوالب Playbook مسبقا واختبارها وجاهزة للاستخدام التي لا يمكن استخدامها كدلائل مبادئ نفسها، ولكنها جاهزة للتخصيص لتلبية احتياجاتك. نوصي أيضا باستخدام قوالب دليل المبادئ كمرجع لأفضل الممارسات عند تطوير أدلة المبادئ من البداية، أو كمصدر إلهام لسيناريوهات التشغيل التلقائي الجديدة.

الوصول إلى قوالب دليل المبادئ من المصادر التالية:

من الناحية الفنية، قالب دليل المبادئ هو قالب Azure Resource Manager (ARM)، والذي يتكون من عدة موارد: سير عمل Azure Logic Apps واتصالات واجهة برمجة التطبيقات لكل اتصال معني.

لمزيد من المعلومات، راجع:

• إنشاء أدلة مبادئ Microsoft Sentinel وتخصيصها من قوالب المحتوى
• قوالب دليل المبادئ الموصى بها
• Azure Logic Apps لدلائل مبادئ Microsoft Sentinel

استخدم سير العمل التالي لإنشاء وتشغيل أدلة مبادئ Microsoft Sentinel:

1. حدد سيناريو التشغيل التلقائي الخاص بك. نوصي بمراجعة حالات استخدام أدلة المبادئ الموصى بها وقوالب أدلة المبادئ للبدء.

2. إذا كنت لا تستخدم قالب، فبادر بإنشاء دليل المبادئ الخاص بك وإنشاء تطبيق المنطق الخاص بك. لمزيد من المعلومات، راجع إنشاء أدلة مبادئ Microsoft Sentinel وإدارتها.

   اختبر تطبيق المنطق الخاص بك عن طريق تشغيله يدويا. لمزيد من المعلومات، راجع تشغيل دليل المبادئ يدويا، عند الطلب.

3. قم بتكوين دليل المبادئ الخاص بك للتشغيل تلقائيا على تنبيه جديد أو إنشاء حدث، أو تشغيله يدويا حسب الحاجة لعملياتك. لمزيد من المعلومات، راجع الاستجابة للتهديدات باستخدام أدلة مبادئ Microsoft Sentinel.

• إنشاء أدلة مبادئ Microsoft Sentinel وتخصيصها من قوالب المحتوى
• إنشاء أدلة مبادئ Microsoft Sentinel وإدارتها
• الاستجابة للتهديدات باستخدام أدلة مبادئ Microsoft Sentinel
• Azure Logic Apps لدلائل مبادئ Microsoft Sentinel