Understøttede udløsere og handlinger i Microsoft Sentinel playbooks

I denne artikel beskrives de udløsere og handlinger, der understøttes af Logic Apps Microsoft Sentinel-connectoren. Brug de viste udløsere og handlinger i Microsoft Sentinel playbooks til at interagere med dine Microsoft Sentinel data.

Forudsætninger

Før du starter, skal du sørge for, at du har følgende Azure tilladelser, der kræves for at bruge Microsoft Sentinel connectorkomponenter:

Du kan få flere oplysninger under Roller og tilladelser i Microsoft Sentinel og forudsætninger for at arbejde med Microsoft Sentinel playbooks.

Understøttede Microsoft Sentinel udløsere

Den Microsoft Sentinel connector og derfor Microsoft Sentinel playbooks understøtter følgende udløsere:

• Microsoft Sentinel hændelse. Anbefales til de fleste automatiseringsscenarier for hændelser.

  Playbooken modtager hændelsesobjekter, herunder både objekter og beskeder. Denne udløser giver dig mulighed for at knytte en playbook til en automatiseringsregel, der kan udløses, når en hændelse oprettes eller opdateres i Microsoft Sentinel og anvender alle fordelene ved automatiseringsregler på hændelsen.

• Microsoft Sentinel besked (prøveversion). Anbefales til playbooks, der skal køres manuelt på beskeder eller for planlagte analyseregler, der ikke genererer hændelser for deres beskeder.

  • Denne udløser kan ikke bruges til at automatisere svar for beskeder, der genereres af Microsofts regler for sikkerhedsanalyse .
  • Playbooks, der bruger denne udløser, kan ikke kaldes af automatiseringsregler.

• Microsoft Sentinel objekt. Anbefales til playbooks, der skal køres manuelt på bestemte enheder fra en undersøgelse eller trusselsjagtkontekst. Playbooks, der bruger denne udløser, kan ikke kaldes af automatiseringsregler.

De skemaer, der bruges af disse flow, er ikke identiske. Vi anbefaler, at du bruger flowet Microsoft Sentinel hændelsesudløser til de fleste scenarier.

Dynamiske hændelsesfelter

Hændelsesobjektet, der er modtaget fra Microsoft Sentinel hændelse, indeholder følgende dynamiske felter:

Kendte problemer og begrænsninger

Omdøbning af en udløser i en Logic App understøttes ikke i øjeblikket. Ændring af udløsernavnet afbryder integrationer med automatiske arbejdsprocesser og Microsoft Sentinel, da disse tjenester er afhængige af det oprindelige udløsernavn for forbindelsen.

Understøttede Microsoft Sentinel handlinger

Den Microsoft Sentinel connector og derfor Microsoft Sentinel playbooks understøtter følgende handlinger:

Understøttede objekttyper

Det dynamiske felt Objekter er en matrix af JSON-objekter, som hver især repræsenterer et objekt. Hver objekttype har sit eget skema, afhængigt af dens entydige egenskaber.

Handlingen "Objekter – Hent <objekttype>" giver dig mulighed for at:

• Filtrer matrixen af enheder efter den ønskede type.
• Parse de specifikke felter af denne type, så de kan bruges som dynamiske felter i yderligere handlinger.

Inputtet er det dynamiske felt Objekter .

Svaret er en matrix af objekter, hvor de særlige egenskaber fortolkes og kan bruges direkte i en For hver løkke.

De objekttyper, der understøttes i øjeblikket, omfatter:

• IP
• Vært
• Konto
• URL
• FileHash

På følgende billede vises et eksempel på tilgængelige handlinger for objekter:

For andre objekttyper kan lignende funktionalitet opnås ved hjælp af Logic Apps' indbyggede handlinger:

• Filtrer matrixen af enheder efter den ønskede type ved hjælp af Filtermatrix.

• Parse de specifikke felter af denne type, så de kan bruges som dynamiske felter i yderligere handlinger ved hjælp af Fortse JSON.

Relateret indhold

Du kan finde flere oplysninger under:

• Opret og administrer Microsoft Sentinel playbooks
• Azure Logic Apps til Microsoft Sentinel playbooks
• Godkend strategibøger til Microsoft Sentinel