הקמה ויצירה של Incident Response Workflow

מטרה

מדריך מעשי ל-הקמה ויצירה של Incident Response Workflow, כולל ניווט מדויק, בדיקות לפני שינוי, אימות תוצאה ו-Rollback.

דרישות מוקדמות

• חשבון ניהול עם התפקיד המינימלי הדרוש לפעולה
• MFA פעיל לחשבון הניהול
• תיעוד הערך הקיים לפני שינוי
• חלון שינוי מאושר אם הפעולה משפיעה על משתמשים

ביצוע צעד אחר צעד

1. רשום את שם ה-Tenant/Subscription/Device/Server והגרסה הרלוונטית. ודא שאתה עובד בסביבה הנכונה ולא בייצור אחר.
2. היכנס אל Microsoft Defender portal עם חשבון הניהול המורשה.
3. נווט בדיוק אל: Incidents & alerts > Incidents. אם התפריט לא מופיע, בדוק Role/License לפני ניסיון לעקוף את ההרשאה.
4. צור אובייקט חדש עבור Incident Response Workflow; השתמש בשם מתועד, Scope מינימלי וערכי ברירת מחדל בטוחים.
5. מלא רק את השדות הדרושים. אל תפעיל הרשאות רחבות, Public access או Allow Any אם אין דרישה מפורשת.
6. לחץ Save / Apply / Create רק לאחר Review. אם המוצר מציג Summary, קרא אותו במלואו לפני אישור.
7. המתן ל-Propagation/Task completion. אל תריץ שוב את אותה פעולה בזמן שהיא עדיין Running או Pending.
8. אמת את התוצאה בממשק ובמידת האפשר גם באמצעות Get-WinEvent -LogName Security -MaxEvents 50. חפש מצב Healthy/Enabled/Success או את הערך החדש שהוגדר.
9. בצע בדיקה פונקציונלית מהצד של המשתמש/הלקוח ולא רק מהפורטל: Sign-in, traffic, mail flow, sync, backup או service access לפי הנושא.
10. תעד את השינוי: מה היה לפני, מה שונה, מי אישר, תוצאת הבדיקה ומהי פעולת ה-Rollback. אם הבדיקה נכשלה — החזר את הערך הקודם לפני ניסיון נוסף.

פקודות ובדיקות

Get-WinEvent -LogName Security -MaxEvents 50

אימות הצלחה

• ודא שהמצב הסופי של Incident Response Workflow תואם לדרישה ושאין Alerts/Errors חדשים. בדיקת CLI מומלצת: Get-WinEvent -LogName Security -MaxEvents 50.
• בצע בדיקה גם מזווית המשתמש/הלקוח ולא רק ממסך הניהול.
• שמור צילום/פלט של המצב התקין לצורך השוואה עתידית.

Rollback וטיפול בתקלה

• השתמש ב-Export/Backup שבוצע לפני השינוי והחזר את ההגדרה הקודמת. עבור Lifecycle: Close false positive, preserve evidence and restore containment.
• אם אין ודאות לגבי ההשפעה, עצור לפני Delete/Reset והחזר את הערך האחרון הידוע כתקין.