Il tuo team desidera che gli incidenti di tipo "Impossible travel" ad alta gravità disabilitino automaticamente l'utente interessato in Microsoft Entra ID, aggiungano l'IP di origine a una watchlist di Sentinel e pubblichino un messaggio in un canale Microsoft Teams del SOC. Utilizzerai un playbook di Logic App con un'identità gestita. Quali due azioni dovresti eseguire?

Per automatizzare la risposta agli incidenti, è necessario creare un playbook di Logic App che venga attivato dagli incidenti di Microsoft Sentinel. Questo playbook richiederà un'identità gestita assegnata dal sistema con le autorizzazioni appropriate, come "Entra ID User Administrator" per disabilitare gli utenti e "Microsoft Sentinel Contributor" per aggiungere dati alle watchlist. Successivamente, una regola di automazione di Microsoft Sentinel deve essere configurata per filtrare gli incidenti di "Impossible travel" ad alta gravità e avviare il playbook. Le altre opzioni sono errate perché: un gruppo di azioni di Azure Monitor non è il meccanismo corretto per attivare playbook in risposta agli incidenti di Sentinel; assegnare il ruolo di Proprietario (Owner) a livello di sottoscrizione è un eccesso di privilegi e non è una pratica di sicurezza consigliata; e non è necessario convertire il playbook in una Logic App Standard, poiché le Logic App Consumption possono essere attivate da Sentinel e supportano i connettori necessari.