Ihr SOC muss übermäßige fehlgeschlagene Anmeldungen innerhalb einer Minute erkennen und auch ausgeklügelte mehrstufige Angriffe über Signale von mehreren Microsoft-Sicherheitsprodukten hinweg erkennen, ohne eine benutzerdefinierte Korrelationslogik schreiben zu müssen. Welche zwei Konfigurationen in Microsoft Sentinel sollten Sie implementieren?

Eine Near Real-Time (NRT) Analyseregel ist ideal für die Erkennung übermäßiger fehlgeschlagener Anmeldungen innerhalb einer Minute, da sie eine hohe Frequenz (bis zu einmal pro Minute) für die Ausführung bietet und somit eine schnelle Reaktion auf solche Ereignisse ermöglicht. Die integrierte Fusion (Advanced Multistage Attack Detection) Regel in Microsoft Sentinel ist speziell dafür konzipiert, komplexe, mehrstufige Angriffe automatisch über verschiedene Microsoft-Sicherheitsprodukte hinweg zu korrelieren, ohne dass benutzerdefinierte Korrelationslogik erforderlich ist. Geplante Analyseregeln sind weniger geeignet für die Erkennung innerhalb einer Minute, da ihre Mindestfrequenz 5 Minuten beträgt. UEBA (User and Entity Behavior Analytics) hilft zwar bei der Erkennung ungewöhnlichen Verhaltens, korreliert aber nicht automatisch mehrstufige Angriffe über verschiedene Sicherheitsprodukte hinweg in der Art, wie es die Fusion-Regel tut. Livestream-Abfragen sind für kontinuierliche Überwachung gedacht, aber keine Analyseregeln, die Alarme generieren.