Votre équipe souhaite que les incidents de gravité élevée de type « Impossible travel » désactivent automatiquement l'utilisateur concerné dans Microsoft Entra ID, ajoutent l'adresse IP source à une liste de surveillance Sentinel et publient un message sur un canal Microsoft Teams du SOC. Vous utiliserez un playbook Logic App avec une identité managée. Quelles sont les deux actions à effectuer ?

Pour automatiser la réponse aux incidents, il faut d'abord un playbook Logic App qui sera déclenché par Microsoft Sentinel. Ce playbook doit utiliser le déclencheur d'incident Sentinel et avoir une identité managée (affectée par le système est suffisant et plus simple) avec les autorisations nécessaires : Administrateur d'utilisateur Entra ID pour désactiver l'utilisateur et Contributeur Microsoft Sentinel pour ajouter l'IP à la liste de surveillance. Ensuite, une règle d'automatisation dans Sentinel est requise pour spécifier les conditions (gravité élevée, titre "Impossible travel") qui déclencheront l'exécution de ce playbook. L'option "Créer un groupe d'actions Azure Monitor" est incorrecte car les groupes d'actions sont principalement pour les alertes Monitor, pas pour l'orchestration d'incidents Sentinel. L'option "Attribuer le rôle de propriétaire à la racine de l'abonnement" est une sur-attribution de privilèges et n'est pas une bonne pratique de sécurité. L'option "Convertir le playbook en Logic App Standard" est incorrecte car les Logic Apps de consommation peuvent être déclenchées par Sentinel et supportent les connecteurs nécessaires.