In Ihrem Microsoft Sentinel-Arbeitsbereich berichten Analysten von vielen separaten Incidents, die vom selben Host während einer 24-stündigen Brute-Force-Kampagne generiert wurden. Sie wünschen sich außerdem eine schnelle Möglichkeit, verwandte Warnungen, Benutzer, Hosts und IPs, die mit einem Incident verbunden sind, zu visualisieren. Welche zwei Maßnahmen sollten Sie ergreifen?

Die erste Maßnahme ist korrekt, da die Warnungsgruppierung in der Analyseregel die Anzahl der generierten Incidents reduziert, indem sie ähnliche Warnungen (z. B. vom selben Host bei Brute-Force-Angriffen) über einen definierten Zeitraum zu einem einzigen Incident zusammenfasst. Dies vermeidet eine Flut von separaten Incidents für dasselbe Ereignis. Die zweite Maßnahme ist korrekt, weil die Untersuchungsansicht in Microsoft Sentinel eine grafische Darstellung von Incidents, Warnungen und den zugehörigen Entitäten (Hosts, Benutzer, IPs) bietet. Dies ermöglicht Analysten eine schnelle visuelle Korrelation und das Verständnis der Beziehungen zwischen verschiedenen Elementen eines Angriffs. Das Reduzieren der Aufbewahrungsdauer des Log Analytics-Arbeitsbereichs würde die Daten für die Untersuchung einschränken und nicht die Incident-Erstellung steuern. Das Deaktivieren der Incident-Erstellung für Regeln mit niedriger Schwere würde wichtige Warnungen übersehen, anstatt sie zu konsolidieren. Das Deaktivieren der Entitätszuordnung würde die Korrelation von Warnungen und Incidents erschweren, anstatt sie zu verbessern.