你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

教程：使用非原生操作提取事件实体

项目
11/20/2024
适用于:

Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

实体映射利用对于任何调查流程及之后的修正操作所必需的信息来丰富警报和事件。

Microsoft Sentinel 剧本包含以下原生操作用于提取实体信息：

帐户
DNS
文件哈希
主机
IP
URL

除了这些操作，分析规则实体映射还包含不是原生操作的实体类型，例如恶意软件、进程、注册表项、邮箱等。本教程介绍如何使用非原生操作，即不同的内置操作来提取相关值。

在本教程中，你将了解如何执行以下操作：

创建包含事件触发器的剧本，并在事件上手动运行剧本。
初始化数组变量。
从其他实体类型中筛选出所需的实体类型。
在 JSON 文件中分析结果。
创建值作为动态内容供未来使用。

重要

Microsoft Sentinel 已在 Microsoft Defender 门户的 Microsoft 统一安全运营平台中正式发布。对于预览版，Microsoft Sentinel 已在 Defender 门户中可用，并且无需 Microsoft Defender XDR 或 E5 许可证。有关详细信息，请参阅 Microsoft Defender 门户中的 Microsoft Sentinel。

先决条件

若要完成本教程，请确保做好以下准备：

Azure 订阅。创建免费帐户（如果还没有该帐户）。
在以下资源上分配有以下角色的 Azure 用户：
- 在部署 Microsoft Sentinel 的 Log Analytics 工作区中分配有 Microsoft Sentinel 参与者角色。
- 逻辑应用参与者和所有者或等效角色，在任何资源组上都将包含本教程中创建的 playbook。
对于本教程，（免费）VirusTotal 帐户就足够了。生产实现需要 VirusTotal Premium 帐户。

创建包含事件触发器的剧本

对于 Azure 门户中的 Microsoft Sentinel，请选择“配置”>“自动化”页面。对于 Defender 门户中的 Microsoft Sentinel，请选择“Microsoft Sentinel”>“配置”>“自动化”。
在“自动化”页上，选择“创建”>“使用事件触发器的 Playbook”。
在“创建剧本”向导的“基本”下，选择订阅和资源组，并为剧本命名。
选择“下一步：连接 >”。

在“连接”下，应该可以看到“Microsoft Sentinel - 与托管标识连接”连接。例如：
选择“下一步：审阅并创建 >”。
在“审阅并创建”下，选择“创建并继续前往设计器”。

逻辑应用设计器打开以你的剧本名称命名的逻辑应用。

初始化数组变量

在逻辑应用设计器中，在要添加变量的步骤下，选择“新建步骤”。
在“选择操作”下的搜索框中，输入“变量”作为筛选条件。在操作列表中，选择“初始化变量”。
提供变量的以下信息：
- 在变量名称处，使用“实体”。
- 在类型处，选择“数组”。
- 在值处，开始输入实体，然后在“动态内容”下选择“实体”。

选择现有事件

在 Microsoft Sentinel 中，导航到“事件”，然后选择要在其上运行剧本的事件。
在右侧的事件页面中，选择“操作>”“运行剧本（预览）”。
在“剧本”下，在你创建的剧本旁边选择“运行”。

触发剧本后，右上角会显示一条“已成功触发剧本”的消息。
选择“运行”，然后在剧本旁边选择“查看运行”。

会看到逻辑应用运行。
在“初始化变量”下，示例有效负载在“值”下可见。记下示例有效负载以供之后使用。

从其他实体类型中筛选出所需的实体类型

导航返回到“自动化”页面并选择剧本。
在要添加变量的步骤下，选择“新建步骤”。
在“选择操作”下的搜索框中输入“筛选器数组”作为筛选条件。从操作列表中，选择“数据操作”。
提供筛选器数组的以下信息：
1. 在“来自”>“动态内容”下，选择之前已初始化的“实体”。
2. 在左侧，选择第一个“选择值”字段，然后选择“表达式”。
3. 粘贴值“item()?['kind']”，然后选择“确定”。
4. 保留等于值不动（不要修改）。
5. 在右侧的第二个“选择值”字段中输入“进程”。这需要与系统中的值完全匹配。
  
  注意
  
  此查询区分大小写。确保值“kind”与示例有效负载中的值匹配。请参阅创建剧本时所使用的示例有效负载。

将结果解析到 JSON 文件

在逻辑应用中，在要添加变量的步骤下，选择“新建步骤”。
依次选择“数据操作”>“解析 JSON”。
提供操作的以下信息：
1. 选择“内容”，然后在“动态内容”>“筛选器数组”下，选择“正文”。
2. 在“架构”下，解析 JSON 架构以便可以从数据中提取值。复制在创建剧本时生成的示例有效负载。
3. 返回到剧本，然后选择“使用示例有效负载生成架构”。
4. 粘贴有效负载。在架构的开头添加一个左方括号 ([)，然后在架构的末尾添加 ]。
5. 选择“完成”。