Σε ένα SOC δύο ή τριών ανθρώπων, το πρόβλημα σπάνια είναι η ανίχνευση. Είναι ότι ένα case υψηλής σοβαρότητας μένει μία ώρα στην ουρά επειδή κανείς δεν το είδε, και ότι κάθε αναλυτής κάνει την έρευνα με τη δική του σειρά. Η λύση ως τώρα ήταν playbook με Logic App, που θέλει χρόνο, γνώσεις και κάποιον να το συντηρεί.
Η Microsoft φέρνει δύο αλλαγές σε Public Preview για το unified SecOps στο Defender portal, που απευθύνονται ακριβώς σε αυτό το SOC.
Simple Flows: automation χωρίς playbook
Τα Simple Flows είναι έτοιμες ενέργειες για τα automation rules στο Defender portal. Διαλέγεις trigger, βάζεις συνθήκες και προσθέτεις μία ενέργεια. Δεν χρειάζεται playbook, Logic App ή κώδικας.
Προστίθενται δύο νέοι triggers, Case created και Case updated, και πέντε ενέργειες:
| Ενέργεια | Trigger | Τι κάνει |
|---|---|---|
| Send Case Created Email | Case created | Email με ID, τίτλο, σοβαρότητα, κατάσταση, owner και link του case. |
| Send Case Updated Email | Case updated | Email με τις παλιές και νέες τιμές των πεδίων που άλλαξαν. |
| Update Case | Case created ή updated | Αλλάζει πεδία του case: owner, priority, status, due date, closing notes και custom fields. |
| Add Task | Case created ή updated | Προσθέτει έως 10 tasks ανά κανόνα, με τη σειρά που τα όρισες. |
| Update Alert | Alert created | Αλλάζει status, classification, determination και assigned to ενός alert. |
Ο trigger Case updated δίνει τις παλιές και τις νέες τιμές, οπότε μπορείς να γράψεις συνθήκες όπως «η σοβαρότητα άλλαξε από Medium σε High». Αν αποθηκευτούν πολλές αλλαγές μαζί, ο κανόνας τρέχει μία φορά.
Τα όρια που πρέπει να ξέρεις
- Τα emails έχουν σταθερό template που δεν αλλάζει, αποστολέα Microsoft Security και δεν υποστηρίζουν CC και BCC.
- Τα emails δεν γράφονται στο audit log του case. Δεν μπορείς να δείξεις από το timeline ότι στάλθηκε ειδοποίηση, οπότε μην τα χρησιμοποιείς ως τεκμήριο ειδοποίησης.
- Το Add Task δεν ελέγχει για διπλότυπα. Αν ο κανόνας ξανατρέξει, προσθέτει ξανά τα ίδια tasks. Βάλε στενές συνθήκες στο Case updated.
Δύο κανόνες για να ξεκινήσεις
- Ειδοποίηση βάρδιας: trigger Case created, συνθήκη Severity equals High, ενέργεια Send Case Created Email στη διανομή της βάρδιας.
- Checklist έρευνας: trigger Case updated, συνθήκη Status changed to Investigating, ενέργεια Add Task με τα βήματα της διαδικασίας σου, π.χ. «Απομόνωση συσκευής αν χρειάζεται», «Revoke sessions του χρήστη», «Ενημέρωση ΥΑΣΠΕ για αξιολόγηση σημαντικότητας».
Ο δεύτερος κάνει τη διαδικασία διαχείρισης περιστατικών μέρος του εργαλείου, και τα tasks μένουν στο case ως ίχνος του τι έγινε.
Χρειάζεσαι Microsoft Sentinel Contributor για τους κανόνες, και Security Operator ή Security Administrator για cases και alerts. Οι κανόνες φτιάχνονται στο Microsoft Sentinel → Automation του Defender portal.
Detection source στα alert tuning rules
Τα alert tuning rules κρύβουν ή κλείνουν αυτόματα alerts που ξέρεις ότι είναι θόρυβος. Μέχρι τώρα ο κανόνας εφαρμοζόταν σε ολόκληρη την υπηρεσία, π.χ. σε όλο το Defender for Endpoint. Τώρα, στο παράθυρο Tune alert, κάτω από Select service sources, διαλέγεις και συγκεκριμένες detection sources μέσα σε κάθε υπηρεσία.
Σύμφωνα με το Microsoft Learn, οι επιλογές σου ισχύουν από τις 8 Νοεμβρίου 2026. Μέχρι τότε είναι περίοδος προετοιμασίας και μπορείς να επεξεργαστείς τους υπάρχοντες κανόνες. Σύμφωνα με την ανακοίνωση MC1481318, η GA έρχεται από τα μέσα Νοεμβρίου, με ισχύ από τις αρχές Δεκεμβρίου.
Το σημαντικό σημείο: κανόνες που δεν αλλάζεις συνεχίζουν να εφαρμόζονται σε όλες τις detection sources, και στα custom detections σου. Αν έχεις έναν πλατύ κανόνα που κρύβει κάποιο alert του Defender for Endpoint, μπορεί να κρύβει και το alert ενός custom detection που έγραψες εσύ για το ίδιο μοτίβο.
Τι κάνεις μέχρι τις 8 Νοεμβρίου: άνοιξε το Settings → Microsoft Defender XDR → Alert tuning, πέρασε έναν έναν τους κανόνες σου, και όπου ο σκοπός ήταν να κρύψεις θόρυβο από συγκεκριμένη πηγή, περιόρισέ τον σε αυτή. Τα built-in alert tuning rules δεν εφαρμόζονται στα custom detections. Οι δικοί σου κανόνες εφαρμόζονται.
📖 Θέλεις όλη την εικόνα; Το SIEM μέσα στο Defender portal και τι σημαίνει για το SOC: Preview: ISOC, το SIEM μπαίνει στο Microsoft Defender χωρίς Sentinel workspace.
Σύνδεση με ΚΥΑ 1689/2025, NIS2, ISO 27001 και GDPR
- ΚΥΑ 1689/2025 24.ε: «κατάλληλα όρια και συνθήκες ειδοποίησης». Τα alert tuning rules με detection source και οι ειδοποιήσεις των Simple Flows είναι ακριβώς αυτό. Κάθε κανόνας που κρύβει alerts θέλει τεκμηρίωση. 24.α και 24.β: τα tasks του Add Task κάνουν τη διαδικασία απόκρισης βήματα μέσα στο case.
- Οδηγία NIS2 21.2.β: χειρισμός περιστατικών.
- ISO/IEC 27001 A.8.16, A.5.25 και A.5.26: monitoring activities, αξιολόγηση των events και απόκριση στα περιστατικά.
- GDPR 33.1: η γρήγορη ειδοποίηση της βάρδιας κερδίζει χρόνο για την αξιολόγηση μιας παραβίασης μέσα στις 72 ώρες.
Τεκμήρια για τον ελεγκτή: η λίστα των alert tuning rules με την αιτιολόγηση και την detection source του καθενός, η εξαγωγή των automation rules, και ένα case με τα tasks της διαδικασίας ολοκληρωμένα. Η ειδοποίηση με email δεν καταγράφεται στο case, οπότε κράτα το τεκμήριο αλλού.
Πηγές και επαλήθευση
Επιπλέον πηγές: Create basic automation rules with Simple Flows in the Microsoft Defender portal · Investigate alerts in Microsoft Defender XDR: Tune an alert · Automate threat response with automation rules · Message Center MC1481318 (28 Σεπτεμβρίου 2026), όπως αρχειοθετείται στο mc.merill.net. Το Microsoft Learn δεν δίνει ημερομηνία κυκλοφορίας για τα Simple Flows. Το θέμα πρωτοεμφανίστηκε στο Microsoft 365 Security: τι άλλαξε (εβδομάδα 43/2026).
Τελευταίος έλεγχος στοιχείων: 27 Οκτωβρίου 2026.