Seu SOC precisa detectar falhas excessivas de login em um minuto e também detectar ataques sofisticados de múltiplos estágios usando sinais de vários produtos de segurança da Microsoft sem escrever lógica de correlação personalizada. Quais duas configurações no Microsoft Sentinel você deve implementar?

Para detectar falhas excessivas de login em um minuto, uma regra de análise near real-time (NRT) é a solução ideal, pois ela pode ser configurada para ser executada a cada minuto, atendendo ao requisito de tempo. Regras agendadas geralmente têm um intervalo mínimo de 5 minutos, o que não seria rápido o suficiente. Para ataques sofisticados de múltiplos estágios que usam sinais de vários produtos de segurança da Microsoft sem lógica de correlação personalizada, a regra interna Fusion (Advanced Multistage Attack Detection) do Microsoft Sentinel é a escolha correta. Ela foi projetada especificamente para correlacionar automaticamente esses tipos de ataques. Embora o UEBA seja útil para detecção de anomalias de comportamento do usuário, ele não substitui a capacidade de correlação de múltiplos estágios da regra Fusion. Consultas Livestream são para monitoramento contínuo, mas não acionam alertas ou automações como as regras de análise.