适用于 Microsoft Sentinel playbook 的 Azure 逻辑应用
Microsoft Sentinel playbook 基于在 Azure 逻辑应用中构建的工作流,这是一项云服务,可帮助计划、自动执行和编排整个企业范围内系统中的任务和工作流。 Microsoft Sentinel playbook 可以利用 Azure 逻辑应用中内置模板的所有强大功能。
Azure 逻辑应用使用各种类型的连接器与其他系统和服务通信。 使用 Microsoft Sentinel 连接器创建与 Microsoft Sentinel 交互的 playbook。
注意
Azure 逻辑应用会创建单独的资源,因此可能会产生额外费用。 有关详细信息,请访问 Azure 逻辑应用定价页面。
Microsoft Sentinel 连接器组件
在 Microsoft Sentinel 连接器中,使用触发器、操作和动态字段定义 playbook 的工作流:
组件 | 说明 |
---|---|
触发器 | 触发器是启动工作流的连接器组件,在本例中为 playbook。 Microsoft Sentinel 触发器定义了 playbook 在触发时期望接收的架构。 Microsoft Sentinel 连接器支持以下类型的触发器: - 警报触发器:playbook 接收警报作为输入。 - 实体触发器:playbook 接收一个实体作为输入。 - 事件触发器:playbook 接收事件作为输入,同时接收其包含的所有警报和实体。 |
操作 | 操作是在触发器之后发生的所有步骤。 操作可以按顺序排列、并行排列或以复杂条件矩阵排列。 |
动态字段 | 动态字段是可以在触发器之后的操作中使用的临时字段。 动态字段由触发器和操作的输出架构确定,由它们的实际输出进行填充。 |
Azure 逻辑应用还支持其他类型的连接器,如围绕 API 调用的托管连接器或者自定义连接器。 有关详细信息,请参阅 Azure 逻辑应用连接器及其文档和创建自己的自定义 Azure 逻辑应用连接器。
支持的逻辑应用类型
Microsoft Sentinel 支持标准 Azure 逻辑应用资源类型:
标准:在单租户 Azure 逻辑应用中运行,并使用最近设计的 Azure 逻辑应用引擎。
标准资源提供更高的性能、固定定价、多工作流功能、更轻松的 API 连接管理、内置网络功能和 CI/CD 功能等。 但是,对于 Microsoft Sentinel 中的标准逻辑应用,以下 playbook 功能有所不同:
Feature | 说明 |
---|---|
创建 Playbook | 在 Azure 逻辑应用中手动创建工作流,以在 Microsoft Sentinel 中将其用作 playbook。 |
专用终结点 | 如果将标准工作流与专用终结点配合使用,则 Microsoft Sentinel 需要在逻辑应用中定义访问限制策略,以便基于标准工作流在任何 playbook 中为这些专用终结点提供支持。 如果没有访问限制策略,具有专用终结点的工作流在 Microsoft Sentinel 中可能仍可见且可供选择,但其运行将失败。 |
无状态工作流 | 虽然在 Azure 逻辑应用中有状态和无状态标准工作流均受支持,但 Microsoft Sentinel 不支持无状态工作流。 有关详细信息,请查看有状态和无状态工作流。 |
向 Microsoft Sentinel 进行 playbook 身份验证
Azure 逻辑应用必须单独连接,并独立地对它与之交互的每个资源(包括 Microsoft Sentinel 本身)进行身份验证。 Azure 逻辑应用使用专用连接器实现此目的,每个资源类型都有自己的连接器。
有关详细信息,请参阅向 Microsoft Sentinel 验证 playbook。
相关内容
- Azure 逻辑应用文档中的资源类型和主机环境差异
- Azure 逻辑应用文档中的适用于 Azure 逻辑应用的 Microsoft Sentinel 连接器
- 创建和管理 Microsoft Sentinel playbook