No seu workspace do Microsoft Sentinel, os analistas relatam muitos incidentes separados gerados a partir do mesmo host durante uma campanha de força bruta de 24 horas. Eles também querem uma maneira rápida de visualizar alertas, usuários, hosts e IPs relacionados a um incidente. Quais duas ações você deve tomar?

A primeira ação é correta porque agrupar alertas por entidades-chave (como host e usuário) durante um período de 24 horas consolida múltiplos alertas relacionados a uma única campanha de força bruta em um único incidente, reduzindo a proliferação e o ruído. A segunda ação é correta porque a visualização de Investigação no Microsoft Sentinel fornece uma representação gráfica interativa de alertas, entidades (usuários, hosts, IPs) e evidências relacionadas a um incidente, permitindo que os analistas visualizem rapidamente as conexões e o escopo do ataque. Reduzir a retenção do Log Analytics não resolve o problema de proliferação de incidentes e pode comprometer a análise forense. Desativar a criação de incidentes para regras de baixa severidade ou desativar o mapeamento de entidades não aborda a necessidade de agrupar alertas relacionados e pode levar à perda de visibilidade de eventos importantes.