Ihr SOC pflegt täglich eine CSV-Datei mit IP-Adresse und Aktion (Zulassen/Verweigern). Sie müssen diese in Microsoft Sentinel verwenden, um Analyseregeln anzureichern, sodass sie eine Warnung ausgeben, wenn eine verweigerte IP in Anmeldedaten erscheint, und die Liste muss jeden Morgen automatisch von einem sicheren Speicherort aktualisiert werden. Welche zwei Aktionen sollten Sie durchführen?

Die Erstellung einer Watchlist aus einem Storage-Konto-Blob mit SAS und einem täglichen Import ist korrekt, da dies die Anforderung erfüllt, die Liste täglich automatisch von einem sicheren Ort zu aktualisieren. Watchlists sind für das Anreichern von Analyseregeln konzipiert. Das Verweisen auf die Watchlist mit GetWatchlist('ListName') in KQL und das Auslösen einer Warnung bei einer abgelehnten IP ist ebenfalls korrekt, da dies die Logik für die Analyse und Warnung implementiert. Das einmalige Hochladen einer CSV ohne Aktualisierungszeitplan ist falsch, da die Liste täglich aktualisiert werden muss. Die Verwendung des TAXII-Konnektors ist falsch, da dieser für Threat Intelligence Feeds und nicht für eine benutzerdefinierte CSV-Datei vorgesehen ist. Ein Workbook-Parameter ist für Dashboards und Visualisierungen gedacht, nicht für die Anreicherung von Analyseregeln in diesem Kontext.