Su equipo desea que los incidentes de "viaje imposible" de alta gravedad deshabiliten automáticamente al usuario afectado en Microsoft Entra ID, agreguen la IP de origen a una watchlist de Sentinel y publiquen un mensaje en un canal de Microsoft Teams del SOC. Utilizará un playbook de Logic App con una identidad administrada. ¿Qué dos acciones debe realizar?

La primera acción correcta es crear el playbook de Logic App con el desencadenador de incidentes de Sentinel. La identidad administrada asignada por el sistema es crucial para la autenticación segura, y los permisos de Administrador de usuarios de Entra ID permiten deshabilitar usuarios, mientras que Colaborador de Microsoft Sentinel es necesario para agregar la IP a una watchlist. La segunda acción correcta es configurar una regla de automatización en Sentinel. Esta regla es la que detecta los incidentes de "viaje imposible" de alta gravedad y, al coincidir con los criterios, ejecuta el playbook de Logic App. Las opciones incorrectas son: Un grupo de acciones de Azure Monitor no es el mecanismo principal para ejecutar playbooks en respuesta a incidentes de Sentinel; las reglas de automatización son el método diseñado para esto. Asignar el rol de Propietario en la raíz de la suscripción es un exceso de privilegios y una mala práctica de seguridad (principio de privilegio mínimo). Los playbooks de Logic Apps de Consumo son perfectamente compatibles con los desencadenadores de Sentinel; no es necesario convertirlos a Logic Apps Estándar para este escenario.