Creare e personalizzare i playbook di Microsoft Sentinel a partire dai modelli

Un modello di playbook è un flusso di lavoro di automazione predefinito, testato e pronto all'uso per Microsoft Sentinel che possono essere personalizzati in base alle proprie esigenze. I modelli possono anche fungere da riferimento per le procedure consigliate per lo sviluppo di playbook da zero o come fonte di ispirazione per nuovi scenari di automazione.

I modelli di playbook non sono essi stessi playbook attivi ed è necessario creare una copia modificabile per le proprie esigenze.

Molti modelli di playbook sono sviluppati dalla community Microsoft Sentinel, dai fornitori di software indipendenti (ISV) e dagli esperti di Microsoft, basati su scenari di automazione diffusi usati dai centri operativi di sicurezza di tutto il mondo.

Prerequisiti

Per creare e gestire playbook, è necessario accedere a Microsoft Sentinel con uno dei ruoli di Azure seguenti:

• Collaboratore App per la logica, per modificare e gestire le app per la logica
• Operatore Logic App, per leggere, abilitare e disabilitare le Logic App

Per altre informazioni, vedere prerequisiti del playbook di Microsoft Sentinel.

Consigliamo di leggere App per la logica Azure per i playbook di Microsoft Sentinel prima di creare il playbook.

Accedere ai modelli di playbook

Accedi ai modelli di playbook dalle fonti seguenti:

Tecnicamente, un modello di playbook è un modello di Azure Resource Manager (ARM), costituito da diverse risorse: un flusso di lavoro di App per la logica Azure e connessioni API per ogni connessione coinvolta.

La procedura seguente si concentra sul dispiegamento di un modello di playbook dalla scheda dei modelli di Playbook sotto Automazione.

Esplora i modelli di playbook

Per Microsoft Sentinel nel portale di Azure, selezionare la pagina Hub del contenuto di gestione>del contenuto. Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Hub contenuto per la gestione>dei contenuti.

Nella pagina Hub contenuto selezionare Tipo di contenuto da filtrare per Playbook. La pagina dell'hub Contenuti filtrata elenca tutte le soluzioni e i contenuti standalone che includono uno o più modelli di playbook. Installare la soluzione o il contenuto indipendente per ottenere il modello.

Per visualizzare i modelli di playbook installati, selezionare la scheda Configurazione>Automazione>Modelli di playbook. Per esempio:

Per trovare un modello di playbook adatto alle proprie esigenze, filtrare l'elenco in base ai criteri seguenti:

Ad esempio:

Personalizza un playbook partendo da un modello

I passaggi seguenti descrivono come distribuire i modelli di playbook e possono essere ripetuti per creare più playbook a partire dallo stesso template.

Sebbene la maggior parte dei modelli di playbook possa essere utilizzata così com'è, consigliamo di adattarli secondo necessità affinché il playbook soddisfi le esigenze del tuo SOC.

1. Nella scheda Modelli playbook, selezionare un playbook da cui iniziare.

2. Se il playbook ha dei prerequisiti, assicurarsi di seguire le istruzioni. Ad esempio:

   • Alcuni playbook richiamano altri playbook in qualità di azioni. Il playbook chiamato è chiamato playbook annidato. In questo caso, uno dei prerequisiti consiste nel distribuire prima il playbook annidato.

   • Alcuni playbook richiedono la distribuzione di un connettore personalizzato di Logic Apps o di una funzione di Azure. In questi casi, è disponibile un collegamento Distribuisci in Azure che rimanda al processo generale di distribuzione del modello ARM.

3. Selezionare Crea playbook per aprire la creazione guidata del playbook in base al modello selezionato. La procedura guidata include quattro schede:

   • Basi: individuare il nuovo playbook, che è una risorsa di App per la logica, e assegnargli un nome. È possibile usare il valore predefinito. Ad esempio:

     

   • Parametri: Inserire i valori specifici del cliente che il playbook utilizza. Ad esempio, se il playbook invia un'email al SOC, specificare l'indirizzo del destinatario. Se il playbook ha un connettore personalizzato in uso, deve essere distribuito nello stesso gruppo di risorse e viene richiesto di immetterne il nome nella scheda Parametri .

     La scheda Parametri viene visualizzata solo se il playbook ha parametri. Ad esempio:

     

   • Connessioni: Espandere ogni azione per visualizzare le connessioni esistenti create per i playbook precedenti. È possibile scegliere di usare le connessioni esistenti o crearne una nuova. Ad esempio:

     

     • Per creare una nuova connessione, selezionare Crea nuova connessione dopo la distribuzione. L'opzione Crea nuova connessione dopo il deployment ti porta al designer di Logic Apps dopo il completamento del processo di deployment.

     • I connettori personalizzati sono elencati dal nome del connettore personalizzato immesso nella scheda Parametri .

     • Per i connettori che supportano la connessione con identità gestita, ad esempio Microsoft Sentinel, l'identità gestita è il metodo di connessione predefinito.

     Per altre informazioni, vedere Autenticare i playbook a Microsoft Sentinel.

   • Rivedere e creare: Visualizzare un riepilogo del processo e attendere la convalida dell'input prima di creare il playbook.

4. Dopo aver seguito fino al termine i passaggi della procedura guidata di creazione del playbook, si viene reindirizzati alla progettazione del flusso di lavoro del nuovo playbook nel designer di Logic Apps. Ad esempio:

   

5. Per ogni connettore per il quale è stata selezionata l'opzione Crea nuova connessione dopo la distribuzione, creare la connessione:

   1. Dal menu di spostamento selezionare Connessioni API e quindi selezionare il nome della connessione. Ad esempio:

      

   2. Selezionare Modifica connessione API dal menu di spostamento.

   3. Compilare i parametri necessari e selezionare Salva. Ad esempio:

      

   In alternativa, creare una nuova connessione dall'interno dei passaggi pertinenti nella finestra di progettazione di App per la logica:

   1. Per ogni passaggio visualizzato con un segno di errore, selezionarlo per espandere e quindi selezionare Aggiungi nuovo.

   2. Eseguire l'autenticazione in base alle istruzioni pertinenti. Per altre informazioni, vedere Autenticare i playbook a Microsoft Sentinel.

   3. Se sono presenti altri passaggi che usano questo stesso connettore, espandere i relativi riquadri. Nell'elenco di connessioni visualizzato selezionare la connessione appena creata.

6. Se si è scelto di usare una connessione di identità gestita per Microsoft Sentinel o per altre connessioni supportate, assicurarsi di concedere le autorizzazioni al nuovo playbook nell'area di lavoro Microsoft Sentinel o nelle risorse di destinazione pertinenti per altri connettori.

7. Salvare il playbook. Il playbook viene visualizzato nella scheda Playbook attivi.

Per eseguire il playbook, impostare una risposta automatizzata o eseguirlo manualmente. Per altre informazioni, vedere Rispondere alle minacce con Microsoft Sentinel playbook.

Segnalare un problema in un modello di playbook

Per segnalare un bug o richiedere un miglioramento per un playbook, selezionare il collegamento Supportato da nel riquadro dei dettagli del playbook. Se il playbook è supportato dalla community, il collegamento ti porta ad aprire una segnalazione su GitHub. In caso contrario, si viene indirizzati alla pagina del supporto, con informazioni su come inviare il feedback.

Contenuto correlato

• Automatizza la risposta alle minacce con i playbook di Microsoft Sentinel
• Modelli di playbook consigliati
• Automatizzare ed eseguire i playbook di Microsoft Sentinel