Reagieren auf Bedrohungsakteure bei der Untersuchung oder Bedrohungssuche in Microsoft Sentinel

In diesem Artikel erfahren Sie, wie Sie während der Untersuchung eines Vorfalls oder einer Bedrohungssuche umgehend Maßnahmen gegen Bedrohungsakteure ergreifen können, ohne die Ermittlungsarbeit unterbrechen oder den Kontext verlassen zu müssen. Dies erreichen Sie mithilfe von Playbooks, die auf dem neuen Entitätstrigger basieren.

Der Entitätstrigger unterstützt derzeit die folgenden Entitätstypen:

• Konto
• Host
• IP
• URL
• DNS
• Dateihash

Ausführen von Playbooks mit dem Entitätstrigger

Wenn Sie einen Vorfall untersuchen und feststellen, dass eine bestimmte Entität – Benutzerkonto, Host, IP-Adresse, Datei usw. – eine Bedrohung darstellt, können Sie sofort Abhilfemaßnahmen für diese Bedrohung einleiten, indem Sie ein Playbook bedarfsgesteuert ausführen. Sie können dies auch tun, wenn Sie auf verdächtige Entitäten stoßen, während Sie proaktiv nach Bedrohungen außerhalb des Kontexts von Vorfällen suchen.

1. Wählen Sie die Entität in dem Kontext aus, in dem sie auftritt, und die geeigneten Mittel zum Ausführen eines Playbooks wie folgt aus:

   • Wählen Sie im Widget Entitäten auf der Registerkarte Übersicht eines Incidents auf der Seite Neue Incidentdetails (jetzt in der Vorschau) oder auf der Registerkarte Entitäten eine Entität aus der Liste aus, wählen Sie die drei Punkte neben der Entität aus und wählen Sie Playbook ausführen (Vorschau) aus dem Popup-Menü aus.

     

     

   • Wählen Sie auf der Registerkarte Entitäten eines Vorfalls in der Liste eine Entität und am Ende ihrer Zeile in der Liste den Link Playbook ausführen (Vorschau) aus.

     

   • Wählen Sie im Untersuchungsdiagramm eine Entität und im Seitenbereich der Entität die Schaltfläche Playbook ausführen (Vorschau) aus.

     

   • Wählen Sie auf der Seite Entitätsverhalten eine Entität aus. Wählen Sie auf der resultierenden Entitätsseite im linken Bereich die Schaltfläche Playbook ausführen (Vorschau) aus.

     

     

2. Dadurch wird der Bereich Playbook für <Entitätstyp> ausführen geöffnet.

   

   In jedem dieser Bereiche gibt es zwei Registerkarten: Playbooks und Ausführungen.

3. Auf der Registerkarte Playbooks sehen Sie eine Liste aller Playbooks, auf die Sie Zugriff haben und die den Trigger Microsoft Sentinel-Entität für diesen Entitätstyp (in diesem Fall Benutzerkonten) verwenden. Wählen Sie die Schaltfläche Ausführen für das Playbook aus, das Sie sofort ausführen möchten.

   Wenn das Playbook, das Sie ausführen möchten, nicht in der Liste angezeigt wird, bedeutet dies, dass Microsoft Sentinel nicht über die Berechtigungen zum Ausführen von Playbooks in dieser Ressourcengruppe verfügt.

   Um diese Berechtigungen zu erteilen, wählen Sie Einstellungen > Einstellungen > Playbook-Berechtigungen > Berechtigungen konfigurieren aus. Aktivieren Sie im Bereich Berechtigungen verwalten die Kontrollkästchen der Ressourcengruppen, die die auszuführenden Playbooks enthalten, und wählen Sie Anwenden aus.

   Weitere Informationen finden Sie unter Zusätzliche Berechtigungen, die Microsoft Sentinel zum Ausführen von Playbooks benötigt.

4. Sie können die Aktivität Ihrer Playbooks mit Entitätstrigger auf der Registerkarte Ausführungen überprüfen. Dort sehen Sie eine Liste aller Ausführungszeiten eines Playbooks für die von Ihnen ausgewählte Entität. Es kann ein paar Sekunden dauern, bis ein gerade abgeschlossene Ausführung in dieser Liste erscheint. Durch Auswahl einer spezifischen Ausführung wird das vollständige Ausführungsprotokoll in Azure Logic Apps geöffnet.

Nächste Schritte

In diesem Artikel haben Sie gelernt, wie Sie Playbooks manuell ausführen, um Bedrohungen von Entitäten zu beseitigen, während Sie gerade einen Vorfall untersuchen oder nach Bedrohungen suchen.

• Erfahren Sie mehr über das Untersuchen von Vorfällen in Microsoft Sentinel.
• Erfahren Sie, wie Sie mit Microsoft Sentinel proaktiv nach Bedrohungen suchen.
• Erfahren Sie mehr über Entitäten in Microsoft Sentinel.
• Erfahren Sie mehr über Playbooks in Microsoft Sentinel.