Ein SOC-Team muss riskante Anmeldeverhaltensweisen (wie z. B. unmögliche Reisezeiten) basierend auf Azure AD-Anmelde-Logs und Microsoft 365-Auditdaten erkennen und Endpunktwarnungen von Microsoft Defender for Endpoint korrelieren. Wenn eine hochzuverlässige Warnung ausgelöst wird, soll das Konto automatisch deaktiviert und ein ServiceNow-Incident geöffnet werden. Sie entwerfen Microsoft Sentinel für dieses Szenario. Welche zwei Konfigurationen sollten Sie implementieren? Jede richtige Antwort stellt einen Teil der Lösung dar.

Die Verbindung der integrierten Datenkonnektoren für Azure AD Sign-in Logs, Office 365 und Microsoft Defender for Endpoint ist notwendig, um die erforderlichen Datenquellen (Anmeldeverhalten, Auditdaten, Endpunktwarnungen) in Microsoft Sentinel zu integrieren. Ohne diese Daten können keine Analysen durchgeführt werden. Das Erstellen von Analyseregeln (geplant oder aus Vorlagen) ist entscheidend, um die risikoreichen Anmeldeverhaltensweisen zu erkennen. Das Anfügen eines Logic Apps-Playbooks ermöglicht die automatische Reaktion (Kontodeaktivierung in Azure AD und ServiceNow-Incident-Erstellung), sobald eine hochzuverlässige Warnung ausgelöst wird. Azure Automation-Runbooks sind zwar eine Automatisierungsoption, aber Logic Apps sind die bevorzugte und integrierte Methode für Playbooks in Sentinel. Ein Syslog-Agent ist für Azure AD-Anmeldeereignisse nicht erforderlich, da diese direkt über den integrierten Konnektor erfasst werden. UEBA allein reicht nicht aus, da spezifische Analyseregeln für die detaillierte Erkennung und die Verknüpfung mit automatisierten Reaktionen erforderlich sind.