Lors de la recherche de menaces dans Microsoft Sentinel, vous exécutez une requête KQL qui identifie une activité de téléchargement PowerShell suspecte sur cinq hôtes. Vous souhaitez conserver chaque découverte avec ses entités associées, puis ouvrir un seul cas qui les regroupe toutes pour l'équipe de réponse aux incidents. Quelles sont les deux actions à entreprendre ?

La création de signets pour chaque découverte individuelle (chaque ligne de résultat) permet de conserver les informations spécifiques à chaque hôte, y compris les entités associées, pour une analyse ultérieure. L'ajout de balises et de mappages d'entités enrichit ces signets. Ensuite, en sélectionnant ces signets regroupés dans le volet dédié et en choisissant "Créer un incident", vous générez un cas unique qui contient toutes les découvertes pertinentes, facilitant ainsi la gestion et la réponse de l'équipe d'intervention. Exporter les résultats vers un CSV ne permet pas d'intégrer les données directement dans Sentinel ni de créer un incident consolidé. Enregistrer la requête comme règle d'analyse est pour la détection future, pas pour la conservation des découvertes actuelles. L'ajout à une liste de surveillance ne crée pas automatiquement d'incident et est utilisé pour des objectifs différents.