Automatizzare le risposte di correzione

Prima di iniziare:

• È necessario il ruolo di amministratore della sicurezza o il proprietario nel gruppo di risorse.

• È anche necessario disporre delle autorizzazioni di scrittura per la risorsa di destinazione.

• Per usare i flussi di lavoro App per la logica di Azure, è necessario disporre anche dei ruoli/autorizzazioni seguenti per App per la logica:

  • Le autorizzazioni dell'operatore dell'app per la logica sono necessarie o l'accesso in lettura/trigger dell'app per la logica (questo ruolo non può creare o modificare le app per la logica; solo quelle esistenti)
  • Le autorizzazioni di Collaboratore app per la logica sono necessarie per la creazione e la modifica dell'app per la logica.

• Se si vogliono usare i connettori di App per la logica, potrebbero essere necessarie altre credenziali per accedere ai rispettivi servizi , ad esempio le istanze di Outlook/Teams/Slack.

Seguire questa procedura:

1. Nella barra laterale di Defender per il cloud selezionare Automazione del flusso di lavoro.

   

2. In questa pagina creare nuove regole di automazione, abilitare, disabilitare o eliminare quelle esistenti. Un ambito fa riferimento alla sottoscrizione in cui viene distribuita l'automazione del flusso di lavoro.

3. Per definire un nuovo flusso di lavoro, selezionare Aggiungi automazione del flusso di lavoro. Verrà visualizzato il riquadro delle opzioni per la nuova automazione.

   

4. Immetti gli elementi seguenti:

   • Nome e descrizione per l'automazione.
   • Trigger che avvieranno il flusso di lavoro automatico. Ad esempio, è possibile che l'app per la logica venga eseguita quando viene generato un avviso di sicurezza che contiene "SQL".

5. Specificare l'app per la logica di consumo che verrà eseguita quando vengono soddisfatte le condizioni del trigger.

6. Nella sezione Azioni selezionare la pagina App per la logica per avviare il processo di creazione dell'app per la logica.

   

   Verrà visualizzato il servizio App per la logica di Azure.

7. Selezionare (+) Aggiungi.

   

8. Compilare tutti i campi obbligatori e selezionare Rivedi e crea.

   Viene visualizzato il messaggio Distribuzione in corso . Attendere che venga visualizzata la notifica di completamento della distribuzione e selezionare Vai alla risorsa dalla notifica.

9. Esaminare le informazioni immesse e selezionare Crea.

   Nella nuova app per la logica è possibile scegliere tra i modelli predefiniti integrati della categoria Sicurezza. In alternativa, è possibile definire un flusso personalizzato di eventi che si verificano quando viene attivato il processo.

   Suggerimento

   In alcuni casi in un'app per la logica, i parametri vengono inclusi nel connettore come parte di una stringa e non nel proprio campo. Per un esempio di come estrarre i parametri, vedere il passaggio 14 dell'uso dei parametri dell'app per la logica durante la creazione di Microsoft Defender per il cloud automazione del flusso di lavoro.

La finestra di progettazione app per la logica supporta i seguenti trigger di Defender per il cloud:

• Quando viene creata o attivata una raccomandazione di Microsoft Defender per il cloud: se l'app per la logica si basa su una raccomandazione che viene deprecata o sostituita, l'automazione smette di funzionare ed è necessario aggiornare il trigger. Per tenere traccia delle modifiche alle raccomandazioni, usare le note sulla versione.

• Quando viene creato o attivato un avviso di Defender per il cloud: è possibile personalizzare il trigger in modo che sia correlato solo agli avvisi con i livelli di gravità che interessano l'utente.

• Quando viene creata o attivata una valutazione della conformità alle normative Defender per il cloud: attivare le automazione in base agli aggiornamenti alle valutazioni di conformità alle normative.

1. Dopo avere definito l'app per la logica, tornare al riquadro di definizione dell'automazione del flusso di lavoro ("Aggiungi l'automazione del flusso di lavoro").

2. Selezionare Aggiorna per assicurarsi che la nuova app per la logica sia disponibile per la selezione.

3. Selezionare l'app per la logica e salvare l'automazione. L'elenco a discesa dell'app per la logica mostra solo quelli che supportano i connettori Defender per il cloud indicati in precedenza.

È anche possibile eseguire manualmente le app per la logica durante la visualizzazione di qualsiasi avviso di sicurezza o raccomandazione.

Per eseguire manualmente un'app per la logica, aprire un avviso o un consiglio e selezionare Attiva app per la logica.

Configurare l'automazione del flusso di lavoro su larga scala

L'automazione dei processi di monitoraggio e risposta agli eventi imprevisti dell'organizzazione può migliorare significativamente il tempo necessario per indagare e attenuare gli eventi imprevisti relativi alla sicurezza.

Per distribuire le configurazioni di automazione all'interno dell'organizzazione, usare i criteri "DeployIfNotExist" di Criteri di Azure forniti descritti di seguito, in modo da creare e configurare le procedure di automazione del flusso di lavoro.

Introduzione ai modelli di automazione dei flussi di lavoro.

Per implementare questi criteri:

1. Nella tabella seguente selezionare i criteri da applicare:

   Obiettivo	Criteri	ID criterio
   Automazione dei flussi di lavoro per gli avvisi di sicurezza	Distribuire l'automazione del flusso di lavoro per gli avvisi di Microsoft Defender for Cloud	f1525828-9a90-4fcf-be48-268cdd02361e
   Automazione dei flussi di lavoro per le raccomandazioni sulla sicurezza	Distribuire l'automazione del flusso di lavoro per i consigli di Microsoft Defender for Cloud	73d6ab6c-2475-4850-afd6-43795f3492ef
   Automazione del flusso di lavoro per le modifiche alla conformità normativa	Distribuire l'automazione del flusso di lavoro per la conformità alle normative di Microsoft Defender per il cloud	509122b9-ddd9-47ba-a5f1-d0dac20be63c

   È anche possibile trovarli cercando Criteri di Azure. In Criteri di Azure selezionare Definizioni e cercarle in base al nome.

2. Nella pagina di Criteri di Azure pertinente, selezionare Assegna.

3. Nella scheda Informazioni di base impostare l'ambito per il criterio. Per usare la gestione centralizzata, assegnare i criteri al gruppo di gestione contenente le sottoscrizioni che useranno la configurazione dell’automazione del flusso di lavoro.

4. Nella scheda Parametri, immettere le informazioni necessarie.

   

5. Facoltativamente, applicare questa assegnazione a una sottoscrizione esistente nella scheda Correzione e selezionare l'opzione per creare un'attività di correzione.

6. Esaminare la pagina del riepilogo, quindi selezionare Crea.

   Schemi dei tipi di dati

   Per visualizzare gli schemi di eventi non elaborati degli avvisi di sicurezza o degli eventi consigliati passati all'app per la logica, visitare gli schemi dei tipi di dati di automazione del flusso di lavoro. Ciò può essere utile nei casi in cui non si usano i connettori predefiniti di App per la logica di Defender per il cloud indicati in precedenza, ma si usa il connettore HTTP generico. È possibile usare lo schema JSON dell'evento per analizzarlo manualmente come previsto.