Durante la ricerca di minacce in Microsoft Sentinel, esegui una query KQL che identifica attività sospette di download PowerShell su cinque host. Vuoi conservare ogni risultato con le entità associate e quindi aprire un singolo caso che li raggruppi tutti per il team di risposta agli incidenti. Quali due azioni dovresti intraprendere?

Le azioni corrette sono la creazione di segnalibri e la successiva aggregazione in un incidente. Quando si identificano attività sospette durante la ricerca di minacce (hunting), la best practice è creare un segnalibro per ogni risultato pertinente. I segnalibri consentono di conservare i risultati della query KQL, aggiungere contesto tramite tag e mappare le entità coinvolte (come gli host e gli utenti), rendendo le informazioni utili per l'analisi successiva. Una volta creati i segnalibri per tutte le attività sospette correlate, è possibile selezionarli dal pannello Segnalibri e raggrupparli in un singolo incidente. Questo consolida tutte le prove e il contesto in un unico caso per il team di risposta agli incidenti, facilitando la gestione e la risoluzione. Esportare in CSV e allegare a un ticket ITSM è meno efficiente perché non sfrutta le capacità native di gestione degli incidenti di Sentinel, perdendo il contesto e le funzionalità di arricchimento automatico. Salvare la query come regola di analisi pianificata è utile per rilevamenti futuri, ma non conserva i risultati specifici dell'indagine attuale. Aggiungere host a una watchlist non crea automaticamente incidenti in questo contesto; le watchlist sono per arricchire i dati e non per la creazione diretta di incidenti da risultati di ricerca ad hoc.