Nel tuo spazio di lavoro Microsoft Sentinel, gli analisti segnalano molti incidenti separati generati dallo stesso host durante una campagna di forza bruta di 24 ore. Vogliono anche un modo rapido per visualizzare avvisi, utenti, host e IP correlati a un incidente. Quali due azioni dovresti intraprendere?

La prima azione corretta è modificare la regola di analisi e abilitare il raggruppamento degli avvisi. Raggruppando per entità chiave (come host e utente) in un periodo di 24 ore, si consolideranno più avvisi correlati in un singolo incidente, riducendo la proliferazione di incidenti separati generati dalla stessa campagna di forza bruta. Questo è fondamentale per gestire il volume degli incidenti. La seconda azione corretta è utilizzare la vista Investigazione. Questa funzionalità di Microsoft Sentinel consente agli analisti di visualizzare rapidamente un grafo interattivo che collega avvisi, entità (utenti, host, IP) e prove, fornendo una visione completa dell'incidente e facilitando l'analisi. Ridurre la conservazione dello spazio di lavoro Log Analytics a 7 giorni non risolve il problema della proliferazione degli incidenti e potrebbe compromettere future indagini. Disabilitare globalmente la creazione di incidenti per tutte le regole a bassa gravità non è una soluzione mirata e potrebbe portare alla perdita di avvisi importanti. Disattivare il mapping delle entità nelle regole di analisi renderebbe più difficile la correlazione e l'investigazione degli incidenti, contrariamente all'obiettivo.