Il tuo SOC gestisce un CSV giornaliero con IPAddress e Action (Allow/Deny). Devi usarlo in Microsoft Sentinel per arricchire le regole di analisi in modo che avvisino quando un IP Deny appare nei dati di accesso, e l'elenco deve aggiornarsi automaticamente ogni mattina da una posizione di archiviazione sicura. Quali due azioni dovresti intraprendere?

Le due azioni corrette sono creare una watchlist con importazione ricorrente e fare riferimento ad essa nella regola di analisi. La creazione di una watchlist che importa da un blob di Archiviazione tramite SAS e la configurazione di un'importazione ricorrente giornaliera (opzione 2) garantisce che l'elenco degli IP si aggiorni automaticamente ogni mattina, mantenendo i dati sincronizzati e sicuri. L'utilizzo di GetWatchlist('ListName') in una regola di analisi KQL (opzione 3) è il metodo corretto per fare riferimento ai dati della watchlist e filtrare gli eventi in base all'azione "Deny" per gli IP corrispondenti. Le opzioni errate includono: caricare il CSV una volta senza pianificazione di aggiornamento (opzione 1) non soddisfa il requisito di aggiornamento automatico giornaliero; usare il connettore TAXII (opzione 4) non è appropriato per un CSV personalizzato da una posizione di archiviazione interna; creare un parametro di workbook (opzione 5) è per la visualizzazione interattiva, non per l'arricchimento automatico delle regole di analisi.