Votre SOC doit détecter les échecs de connexion excessifs en une minute et détecter les attaques sophistiquées en plusieurs étapes à partir de signaux provenant de plusieurs produits de sécurité Microsoft sans écrire de logique de corrélation personnalisée. Quelles sont les deux configurations à implémenter dans Microsoft Sentinel ?

Pour détecter les échecs de connexion excessifs en une minute, une règle d'analyse quasi en temps réel (NRT) est la solution appropriée car elle s'exécute à des intervalles très courts (jusqu'à une minute), répondant ainsi à l'exigence de rapidité. Les règles planifiées sont moins fréquentes. Pour les attaques sophistiquées en plusieurs étapes sans logique de corrélation personnalisée, la règle Fusion (Détection avancée des attaques en plusieurs étapes) est conçue pour corréler automatiquement les signaux de plusieurs produits de sécurité Microsoft. L'UEBA est utile pour détecter les comportements anormaux des utilisateurs mais ne remplace pas la corrélation multi-produits de Fusion. Les requêtes Livestream sont pour la surveillance ad-hoc, pas pour la détection automatisée d'incidents.