In un'area di lavoro di Azure Sentinel, quali due eventi possono attivare un playbook?

Un playbook di Azure Sentinel può essere attivato direttamente da due eventi principali per automatizzare le risposte di sicurezza. La generazione di un avviso di Azure Sentinel è un trigger comune, poiché gli avvisi indicano potenziali minacce e spesso richiedono un'azione immediata. La creazione di un incidente di Azure Sentinel è l'altro trigger primario; gli incidenti aggregano avvisi correlati e forniscono un contesto più ampio per l'indagine e la risposta. Le regole di query pianificate di Azure Sentinel eseguono ricerche di dati, ma non attivano direttamente i playbook; piuttosto, generano avvisi che poi possono attivare un playbook. L'aggiunta di un connettore dati non è un evento che attiva un playbook, in quanto si tratta di una configurazione per l'ingestione dei dati. I risultati di una query di hunting sono output di indagini manuali o semi-automatiche e non sono trigger diretti per i playbook.