Su SOC mantiene un CSV diario con IPAddress y Action (Allow/Deny). Necesita usarlo en Microsoft Sentinel para enriquecer las reglas de análisis, de modo que alerten cuando aparezca una IP de Deny en los datos de inicio de sesión, y la lista debe actualizarse automáticamente cada mañana desde una ubicación de almacenamiento segura. ¿Qué dos acciones debe realizar?

La creación de una watchlist en Microsoft Sentinel permite importar datos desde un blob de Azure Storage utilizando una SAS (Shared Access Signature) y configurar una importación recurrente diaria, lo que asegura que la lista de IP se mantenga actualizada automáticamente. Esto cumple con el requisito de actualización diaria desde una ubicación segura. Para utilizar esta watchlist en las reglas de análisis, se debe hacer referencia a ella en las consultas KQL (Kusto Query Language) usando la función GetWatchlist('ListName'). Luego, se puede filtrar por Action == "Deny" para generar alertas cuando una IP denegada aparezca en los datos de inicio de sesión. Cargar el CSV una vez sin programación de actualización no cumpliría con el requisito de actualización diaria. Usar el conector Threat Intelligence - TAXII no es adecuado para un CSV personalizado de IP internas. Crear un parámetro de libro es para informes y no para enriquecer reglas de análisis en tiempo real.