Sua equipe de SOC mantém um CSV diário com IPAddress e Action (Allow/Deny). Você precisa usá-lo no Microsoft Sentinel para enriquecer as regras de análise, de modo que elas alertem quando um IP de "Deny" aparecer nos dados de login, e a lista deve ser atualizada automaticamente todas as manhãs a partir de um local de armazenamento seguro. Quais duas ações você deve realizar?

A criação de uma watchlist com importação diária recorrente de um blob de armazenamento via SAS é a solução ideal. Isso garante que a lista de IPs seja atualizada automaticamente todos os dias, conforme exigido. A SAS (Assinatura de Acesso Compartilhado) fornece acesso seguro ao blob. Em seguida, referenciar a watchlist usando GetWatchlist('ListName') em sua regra de análise KQL permite que você compare os IPs dos dados de login com a lista e gere alertas quando um IP com Action == "Deny" for encontrado. Carregar o CSV uma vez não atende ao requisito de atualização diária. Usar o conector Threat Intelligence - TAXII é para feeds de inteligência de ameaças padronizados, não para um CSV personalizado. Criar um parâmetro de pasta de trabalho é para visualização de dados em pastas de trabalho, não para enriquecer regras de análise.