SOC は、IPAddress と Action (Allow/Deny) を含む CSV を毎日管理しています。Microsoft Sentinel でこれを使用して分析ルールを強化し、サインインデータに Deny IP が表示されたときにアラートを出す必要があります。このリストは、安全なストレージの場所から毎朝自動的に更新される必要があります。どのような 2 つのアクションを実行すべきですか？

このシナリオでは、毎日更新されるIPアドレスの拒否リストをMicrosoft Sentinelに取り込み、それに基づいてアラートを生成する必要があります。 「SAS 経由でストレージアカウントの BLOB からインポートするウォッチリストを作成し、毎日繰り返されるインポートを構成して同期を維持します。」が正しいのは、ウォッチリストがCSVファイルから自動的にインポートされ、毎日更新されるように設定できるためです。これにより、最新の拒否IPリストがSentinelで利用可能になります。 「分析ルールの KQL で GetWatchlist('ListName') を使用してウォッチリストを参照し、一致する IP で Action == "Deny" の場合にアラートを出します。」が正しいのは、Sentinelの分析ルールで