gabriel-wolf/soar-playbook-library

# 云原生 SOAR 剧本库 一个生产级、上下文感知的安全编排、自动化与响应 (SOAR) 剧本集合，使用 Azure Logic Apps 构建，并与 Microsoft Sentinel 和 Microsoft Defender for Endpoint (MDE) 集成。 这些工作流旨在弥合高保真威胁检测与快速自动化遏制之间的差距，在维持严格的企业安全护栏的同时，将操作影响范围降至最低。 ## 仓库架构 此仓库采用 monorepo 结构，其中每个子文件夹代表一个独立的、可参数化的自动化模块，并附带专属的技术蓝图和架构解析。 * **imgs/** — 全局资产与分析师产物验证 * **sentinel-device-isolation/** — 由 MDE 驱动并结合 OpenAI 分析的端点隔离 * **sentinel-user-disruption/** — 上下文感知的用户遏制与 VIP 绕过逻辑 ## 库目录 ### 1. [上下文感知的用户阻断](./sentinel-user-disruption/) * **主要功能：** 通过 Microsoft Graph API 自动进行身份遏制和会话撤销。 * **核心特性：** * 动态活动时间逻辑解析（北京时间上午 8:00 – 晚上 8:00 评估）。 * 针对高危角色（校长、总裁、高管）自动执行 **VIP/高管身份保护绕过循环**，以降低关键业务停机风险。 * 原生 ITSM 工单集成，实现快速的服务台交接。 ### 2. [自主设备隔离](./sentinel-device-isolation/) * **主要功能：** 利用 Microsoft Defender for Endpoint (MDE) API 自动进行端点遏制。 * **核心特性：** * 集成的 **Azure OpenAI (`gpt-4o-mini`) 代理**模块，运行零样本合成，为 SOC 分析师生成 1-2 行的无格式自然语言简报。 * 遏制前状态评估，检查是否存在预先存在的系统拦截机制 (`Prevented Control`)，以减少不必要的中断。 * 自动系统分类循环，将标准工作站与关键任务服务器 (`Server` / `Linux`) 分开。 * 异步验证引擎（`Until` 循环）每 60 秒轮询一次 MDE 机器操作 API，以确保确认网络上的隔离状态。 ## 设计原则与核心标准 此框架中的每个蓝图均基于以下工程原则设计： * **最小权限身份管理：** 所有云任务都严格围绕 Azure 托管服务身份 (MSI) 或严格的 Service Principal OAuth token 划分范围，消除了硬编码的长期 secret。 * **影响范围遏制：** 工作流包含明确的测试/模拟参数（`DisableInProduction`、`SIMULATE_EMAIL`），以支持在非生产着陆区进行安全的集成测试。 * **分析师优先设计：** 自动化不应隐藏数据。每个剧本在结束时都会直接向优先级 SOC 分析师通信流输出高度可视化的 HTML 格式数据卡片，总结已执行的操作、当前的隔离跟踪状态以及直达门户的事件超链接。 ## 许可证 此仓库基于 [MIT License](./LICENSE) 授权 — 意味着这些框架可以免费改编、修改和在此基础上进行构建，且不提供任何保证或承担责任。

标签：Azure Logic Apps, Microsoft Sentinel, 人工智能辅助分析, 微软Defender, 端点隔离, 自动化响应