Ihr Team möchte, dass „Impossible travel“-Vorfälle mit hoher Schwere automatisch den betroffenen Benutzer in Microsoft Entra ID deaktivieren, die Quell-IP zu einer Sentinel-Watchlist hinzufügen und eine Nachricht in einem SOC Microsoft Teams-Kanal posten. Sie werden ein Logic App-Playbook mit einer verwalteten Identität verwenden. Welche zwei Aktionen sollten Sie durchführen?

Die erste korrekte Aktion ist das Erstellen eines Logic App-Playbooks mit dem Microsoft Sentinel-Incident-Trigger, da dies der Startpunkt für die Automatisierung bei einem Sentinel-Vorfall ist. Das Aktivieren einer systemseitig zugewiesenen verwalteten Identität und das Zuweisen der Rollen "Entra ID User Administrator" (zum Deaktivieren des Benutzers) und "Microsoft Sentinel Contributor" (zum Hinzufügen zur Watchlist) stellen die notwendigen Berechtigungen für die Logic App bereit. Die zweite korrekte Aktion ist das Erstellen einer Microsoft Sentinel-Automatisierungsregel. Diese Regel filtert nach Vorfällen mit hoher Schwere und dem Titel "Impossible travel" und löst dann das Playbook aus, um die gewünschten automatisierten Schritte durchzuführen. Eine Azure Monitor-Aktionsgruppe ist nicht der richtige Mechanismus, um ein Playbook basierend auf Sentinel-Vorfällen auszulösen. Die Zuweisung der "Owner"-Rolle auf Abonnement-Ebene ist eine übermäßige Berechtigung und verletzt das Prinzip der geringsten Rechte. Das Konvertieren in eine Standard Logic App ist unnötig, da Consumption Logic Apps von Sentinel ausgelöst werden können und die erforderlichen Aktionen unterstützen.