팀에서 심각도가 높은 “Impossible travel” 인시던트가 발생하면 Microsoft Entra ID에서 해당 사용자를 자동으로 비활성화하고, 원본 IP를 Sentinel 감시 목록에 추가하고, SOC Microsoft Teams 채널에 메시지를 게시하려고 합니다. 관리 ID가 있는 Logic App 플레이북을 사용할 것입니다. 어떤 두 가지 작업을 수행해야 합니까?

첫 번째 정답은 Logic App 플레이북을 구축하고 필요한 권한을 부여하는 방법을 설명합니다. Microsoft Sentinel 인시던트 트리거를 사용하여 인시던트 발생 시 플레이북이 실행되도록 합니다. 시스템 할당 관리 ID는 플레이북이 Microsoft Entra ID에서 사용자 비활성화, Sentinel 감시 목록 업데이트, Teams 메시지 게시와 같은 작업을 수행하는 데 필요한 권한을 안전하게 부여하는 데 사용됩니다. Entra ID User Administrator 역할은 사용자 계정을 비활성화하는 데 필요하며, Microsoft Sentinel Contributor 역할은 감시 목록을 업데이트하는 데 필요합니다. 두 번째 정답은 특정 조건에 따라 플레이북이 실행되도록 하는 자동화 규칙을 설정하는 방법을 설명합니다. Microsoft Sentinel 자동화 규칙은 특정 조건(예: 심각도가 높고 제목에 "Impossible travel"이 포함된 인시던트)이 충족될 때 플레이북을 자동으로 트리거하는 데 사용됩니다. 이는 수동 개입 없이 원하는 응답을 보장합니다. Azure Monitor 작업 그룹은 Sentinel 인시던트가 아닌 Azure Monitor 경고에 주로 사용되므로 오답입니다. 플레이북의 관리 ID에 구독 루트에서 소유자 역할을 할당하는 것은 필요한 권한보다 과도하며 최소 권한 원칙을 위반합니다. Sentinel은 Consumption 논리 앱을 트리거할 수 있으므로 플레이북을 Standard Logic App으로 변환할 필요가 없습니다.