Während der Bedrohungssuche in Microsoft Sentinel führen Sie eine KQL-Abfrage aus, die verdächtige PowerShell-Download-Aktivitäten auf fünf Hosts identifiziert. Sie möchten jeden Fund mit den zugehörigen Entitäten speichern und dann einen einzelnen Fall öffnen, der alle für das Incident Response Team gruppiert. Welche zwei Aktionen sollten Sie durchführen?

Um die verdächtigen PowerShell-Download-Aktivitäten zu speichern und einen einzelnen Incident zu erstellen, müssen Sie zunächst Lesezeichen für jeden Fund erstellen. Lesezeichen in Microsoft Sentinel ermöglichen es Ihnen, relevante Ergebnisse aus Ihren Jagdabfragen zu markieren, zu kommentieren und Entitäten zuzuordnen. Sobald Sie die Lesezeichen für alle fünf Hosts erstellt haben, können Sie diese im Bereich "Lesezeichen" auswählen und die Option "Incident erstellen" wählen. Dies fasst alle ausgewählten Lesezeichen in einem einzigen Incident zusammen, was die Arbeit für das Incident Response Team vereinfacht. Das Exportieren der Ergebnisse in CSV und das Anhängen an ein ITSM-Ticket ist keine integrierte Sentinel-Funktion zur Incident-Erstellung und verliert die Kontextualisierung der Entitäten. Das Speichern der Abfrage als geplante Analyseregel ist für die zukünftige Erkennung gedacht, nicht für die aktuelle Incident-Erstellung. Das Hinzufügen zu einer Beobachtungsliste erstellt nicht automatisch einen Incident basierend auf den Jagdergebnissen.