Il tuo SOC deve rilevare accessi falliti eccessivi entro un minuto e anche rilevare attacchi multistadio sofisticati attraverso segnali provenienti da più prodotti di sicurezza Microsoft senza scrivere una logica di correlazione personalizzata. Quali due configurazioni in Microsoft Sentinel dovresti implementare?

Per rilevare accessi falliti eccessivi entro un minuto, la soluzione più appropriata è una regola di analisi near real-time (NRT). Le regole NRT sono progettate per esecuzioni ad alta frequenza (ogni minuto) e sono ideali per scenari che richiedono un rilevamento quasi istantaneo. Per gli attacchi multistadio sofisticati che coinvolgono più prodotti di sicurezza Microsoft senza logica di correlazione personalizzata, la regola Fusion (Rilevamento avanzato di attacchi multistadio) è la scelta corretta. Questa regola integrata in Sentinel utilizza l'intelligenza artificiale e l'apprendimento automatico per correlare automaticamente gli avvisi da diverse fonti Microsoft. Una regola di analisi pianificata ogni 5 minuti non soddisferebbe il requisito di rilevamento entro un minuto. L'abilitazione di UEBA (User and Entity Behavior Analytics) è utile per rilevare anomalie comportamentali, ma non è la soluzione principale per correlare automaticamente attacchi multistadio complessi tra i segnali di sicurezza di diversi prodotti senza logica personalizzata, come fa Fusion. Le query Livestream sono per il monitoraggio continuo in tempo reale, ma non sono un meccanismo di rilevamento automatico e generazione di avvisi come le regole di analisi.