Esercitazione: Controllare e registrare automaticamente le informazioni sulla reputazione degli indirizzi IP negli eventi imprevisti

Un modo semplice e rapido per valutare la gravità di un evento imprevisto consiste nel verificare se gli indirizzi IP in esso contenuti sono noti come origini di attività dannose. Avere un modo per farlo automaticamente può farti risparmiare molto tempo e fatica.

In questa esercitazione si apprenderà come usare le regole di automazione Microsoft Sentinel e i playbook per controllare automaticamente gli indirizzi IP negli eventi imprevisti rispetto a un'origine di intelligence sulle minacce e registrare ogni risultato nel relativo evento imprevisto pertinente.

Al termine di questa esercitazione, sarà possibile:

Prerequisiti

Per completare questa esercitazione, assicurarsi di avere:

• Una sottoscrizione di Azure. Creare un account gratuito se non è già disponibile.

• Un'area di lavoro Log Analytics con la soluzione Microsoft Sentinel distribuita e i dati inseriti in essa.

• Un utente Azure con i ruoli seguenti assegnati nelle risorse seguenti:

  • Microsoft Sentinel Collaboratore nell'area di lavoro Log Analytics in cui viene distribuito Microsoft Sentinel.
  • Collaboratore all'app per la logica e Proprietario o equivalente in qualsiasi gruppo di risorse conterrà il playbook creato in questa esercitazione.

• Soluzione VirusTotal installata dall'hub del contenuto

• Un account VirusTotal (gratuito) sarà sufficiente per questa esercitazione. Un'implementazione di produzione richiede un account VirusTotal Premium.

• Un agente di monitoraggio Azure installato in almeno un computer nell'ambiente, in modo che gli eventi imprevisti vengano generati e inviati a Microsoft Sentinel.

Creare un playbook da un modello

Microsoft Sentinel include modelli di playbook predefiniti e pronti all'uso che è possibile personalizzare e usare per automatizzare un numero elevato di obiettivi e scenari SecOps di base. Ne troviamo uno per arricchire le informazioni sull'indirizzo IP negli eventi imprevisti.

1. In Microsoft Sentinel selezionare Automazione configurazione>.

2. Nella pagina Automazione selezionare la scheda Modelli playbook (anteprima).

3. Individuare e selezionare uno dei modelli di report Arricchimento IP - Totale virus , per i trigger di entità, evento imprevisto o avviso. Se necessario, filtrare l'elenco in base al tag Arricchimento per trovare i modelli.

4. Selezionare Crea playbook nel riquadro dei dettagli. Ad esempio:

   

5. Verrà aperta la procedura guidata Crea playbook . Nella scheda Nozioni di base :

   1. Selezionare la sottoscrizione, il gruppo di risorsee l'area geografica nei rispettivi elenchi a discesa.

   2. Modificare il nome del Playbook aggiungendo alla fine del nome suggerito "Get-VirusTotalIPReport". In questo modo si sarà in grado di indicare il modello originale da cui proviene questo playbook, garantendo comunque che abbia un nome univoco nel caso in cui si voglia creare un altro playbook da questo stesso modello. Chiamiamolo "Get-VirusTotalIPReport-Tutorial-1".

   3. Lasciare deselezionata l'opzione Abilita log di diagnostica in Log Analytics .

   4. Selezionare Avanti: Connessioni >.

6. Nella scheda Connessioni verranno visualizzate tutte le connessioni che questo playbook deve effettuare ad altri servizi e il metodo di autenticazione che verrà usato se la connessione è già stata eseguita in un flusso di lavoro dell'app per la logica esistente nello stesso gruppo di risorse.

   1. Lasciare la connessione Microsoft Sentinel così come è (dovrebbe essere "Connetti con identità gestita").

   2. Se le connessioni dicono "Nuova connessione sarà configurata", verrà richiesto di eseguire questa operazione nella fase successiva dell'esercitazione. In alternativa, se si dispone già di connessioni a queste risorse, selezionare la freccia di espansione a sinistra della connessione e scegliere una connessione esistente dall'elenco espanso. Per questo esercizio, lo lasceremo così come è.

      

   3. Selezionare Avanti: Rivedere e creare >.

7. Nella scheda Rivedi e crea esaminare tutte le informazioni immesse come vengono visualizzate qui e selezionare Crea playbook.

   

   Man mano che il playbook viene distribuito, verrà visualizzata una breve serie di notifiche sullo stato di avanzamento. Verrà quindi aperta la finestra di progettazione dell'app per la logica con il playbook visualizzato. È comunque necessario autorizzare le connessioni dell'app per la logica alle risorse con cui interagisce in modo che il playbook possa essere eseguito. Verranno quindi esaminate tutte le azioni nel playbook per assicurarsi che siano adatte all'ambiente, apportando modifiche se necessario.

   

Autorizzare le connessioni dell'app per la logica

Si ricordi che quando è stato creato il playbook dal modello, è stato detto che le connessioni Azure Log Analytics Data Collector e Virus Total verranno configurate in un secondo momento.

Ecco dove lo facciamo.

Autorizzare la connessione al numero totale di virus

1. Selezionare l'azione Per ogni azione per espanderla ed esaminarne il contenuto, che include le azioni che verranno eseguite per ogni indirizzo IP. Ad esempio:

   

2. Il primo elemento azione visualizzato è denominato Connessioni e ha un triangolo di avviso arancione.

   Se invece, la prima azione è etichettata Come ottenere un report IP (anteprima), significa che si dispone già di una connessione esistente a Totale virus ed è possibile passare al passaggio successivo.

   1. Selezionare l'azione Connessioni per aprirla.

   2. Selezionare l'icona nella colonna Non valido per la connessione visualizzata.

      

      Verranno richieste informazioni di connessione.

      

   3. Immettere "Totale virus" come nome della connessione.

   4. Per x-api_key, copiare e incollare la chiave API dall'account Virus Total.

   5. Selezionare Aggiorna.

   6. Verrà ora visualizzata correttamente l'azione Ottieni un report IP (anteprima). (Se hai già avuto un account Virus Total, sarai già in questa fase.)

      

Autorizzare la connessione a Log Analytics

L'azione successiva è una condizione che determina il resto delle azioni del ciclo for-each in base al risultato del report dell'indirizzo IP. Analizza il punteggio reputazione assegnato all'indirizzo IP nel report. Un punteggio superiore a 0 indica che l'indirizzo è innocuo; un punteggio inferiore a 0 indica che è dannoso.

Se la condizione è true o false, si vuole inviare i dati nel report a una tabella di Log Analytics in modo che possano essere sottoposti a query e analizzati e aggiungere un commento all'evento imprevisto.

Tuttavia, come si vedrà, sono presenti più connessioni non valide che è necessario autorizzare.

1. Selezionare l'azione Connessioni nel frame True .

2. Selezionare l'icona nella colonna Non valido per la connessione visualizzata.

   

   Verranno richieste informazioni di connessione.

   

3. Immettere "Log Analytics" come nome della connessione.

4. Per ID area di lavoro, copiare e incollare l'ID dalla pagina Panoramica delle impostazioni dell'area di lavoro Log Analytics.

5. Selezionare Aggiorna.

6. Verrà ora visualizzata correttamente l'azione Invia dati . Se si dispone già di una connessione di Log Analytics da App per la logica, si sarà già in questa fase.

   

7. Selezionare ora l'azione Connessioni nel frame False . Questa azione usa la stessa connessione di quella nel frame True.

8. Verificare che la connessione denominata Log Analytics sia contrassegnata e selezionare Annulla. Ciò garantisce che l'azione venga ora visualizzata correttamente nel playbook.

   

   Ora verrà visualizzato l'intero playbook, configurato correttamente.

9. Molto importante! Non dimenticare di selezionare Salva nella parte superiore della finestra di progettazione dell'app per la logica. Dopo aver visualizzato i messaggi di notifica che il playbook è stato salvato correttamente, il playbook verrà elencato nella scheda Playbook attivi* nella pagina Automazione .

Creare una regola di automazione

Ora, per eseguire effettivamente questo playbook, è necessario creare una regola di automazione che verrà eseguita quando vengono creati eventi imprevisti e richiamare il playbook.

1. Nella pagina Automazione selezionare + Crea nel banner superiore. Dal menu a discesa selezionare Regola di automazione.

   

2. Nel pannello Crea nuova regola di automazione assegnare alla regola il nome "Esercitazione: Arricchire le informazioni IP".

   

3. In Condizioni selezionare + Aggiungi e Condizione (And).

   

4. Selezionare Indirizzo IP dall'elenco a discesa della proprietà a sinistra. Selezionare Contiene dall'elenco a discesa operatore e lasciare vuoto il campo valore. Ciò significa che la regola si applicherà agli eventi imprevisti con un campo indirizzo IP che contiene qualsiasi elemento.

   Non si vuole impedire che le regole di analisi vengano coperte da questa automazione, ma non si vuole che l'automazione venga attivata inutilmente, quindi si limiterà la copertura agli eventi imprevisti che contengono entità di indirizzi IP.

   

5. In Azioni selezionare Esegui playbook nell'elenco a discesa.

6. Selezionare il nuovo elenco a discesa visualizzato.

   

   Verrà visualizzato un elenco di tutti i playbook nella sottoscrizione. Quelli disattivati sono quelli a cui non si ha accesso. Nella casella di testo Cerca playbook iniziare a digitare il nome o qualsiasi parte del nome del playbook creato in precedenza. L'elenco dei playbook verrà filtrato dinamicamente con ogni lettera digitata.

   

   Quando viene visualizzato il playbook nell'elenco, selezionarlo.

   

   Se il playbook è disattivato, selezionare il collegamento Gestisci autorizzazioni playbook (nel paragrafo di stampa fine sotto in cui è stato selezionato un playbook - vedere lo screenshot precedente). Nel pannello visualizzato selezionare il gruppo di risorse contenente il playbook nell'elenco dei gruppi di risorse disponibili e quindi selezionare Applica.

7. Selezionare di nuovo + Aggiungi azione . Nell'elenco a discesa nuova azione visualizzata selezionare Aggiungi tag.

8. Selezionare + Aggiungi tag. Immettere "Tutorial-Enriched IP addresses" come testo del tag e selezionare OK.

   

9. Lasciare le impostazioni rimanenti così come sono e selezionare Applica.

Verificare che l'automazione sia riuscita

1. Nella pagina Eventi imprevisti immettere il testo del tag Tutorial-Enriched IP addresses (Indirizzi IP arricchiti da esercitazione ) nella barra di ricerca e premere INVIO per filtrare l'elenco per gli eventi imprevisti con tale tag applicato. Questi sono gli eventi imprevisti in cui è stata eseguita la regola di automazione.

2. Aprire uno o più di questi eventi imprevisti e verificare se sono presenti commenti sugli indirizzi IP. La presenza di questi commenti indica che il playbook è stato eseguito sull'evento imprevisto.

Pulire le risorse

Se non si intende continuare a usare questo scenario di automazione, eliminare il playbook e la regola di automazione creati con la procedura seguente:

1. Nella pagina Automazione selezionare la scheda Playbook attivi .

2. Immettere il nome (o parte del nome) del playbook creato nella barra di ricerca .
   Se non viene visualizzato, verificare che tutti i filtri siano impostati su Seleziona tutto.

3. Contrassegnare la casella di controllo accanto al playbook nell'elenco e selezionare Elimina dal banner superiore.
   Se non si vuole eliminarlo, è possibile selezionare Disabilita .

4. Selezionare la scheda Regole di automazione .

5. Immettere il nome (o parte del nome) della regola di automazione creata nella barra di ricerca .
   Se non viene visualizzato, verificare che tutti i filtri siano impostati su Seleziona tutto.

6. Contrassegnare la casella di controllo accanto alla regola di automazione nell'elenco e selezionare Elimina dal banner superiore.
   Se non si vuole eliminarlo, è possibile selezionare Disabilita .

Contenuto correlato

Ora che si è appreso come automatizzare uno scenario di arricchimento degli eventi imprevisti di base, vedere altre informazioni sull'automazione e altri scenari in cui è possibile usarlo.

• Vedere altri esempi di uso di playbook insieme alle regole di automazione.
• Approfondire l'aggiunta di azioni ai playbook.
• Esplorare alcuni scenari di automazione di base che non richiedono playbook.