Je beveiligingsteam wil de volgende automatisering: wanneer Microsoft Defender for Cloud een waarschuwing met hoge ernst genereert, open dan een ServiceNow-incident en e-mail de SOC; wanneer een specifieke aanbeveling verschijnt die beleidsherstel ondersteunt, start dan automatisch een hersteltaak. Wat moet je configureren?

De juiste oplossing is het maken van een Logic App. Logic Apps kunnen worden geactiveerd door Microsoft Defender for Cloud-waarschuwingen en -aanbevelingen via workflowautomatiseringsregels. Deze regels kunnen worden gefilterd op ernst (bijv. hoge ernst) en specifieke aanbevelingen. De Logic App kan vervolgens geïntegreerd worden met ServiceNow om incidenten te openen, e-mails te verzenden naar de SOC, en via een ARM/HTTP-actie een Azure Policy-hersteltaak te starten. De andere opties zijn onjuist omdat: Azure Automation Update Management is bedoeld voor patchbeheer, niet voor het automatiseren van beveiligingswaarschuwingen en hersteltaken. Een Azure Function geabonneerd op Event Grid voor resource health-gebeurtenissen is niet de primaire methode voor het afhandelen van Defender for Cloud-waarschuwingen en het starten van hersteltaken. Een Activity Log-waarschuwing is gericht op het controleren van beheeracties, niet op Defender for Cloud-beveiligingswaarschuwingen en -aanbevelingen. Microsoft Sentinel-playbooks zijn effectief, maar de vraag specificeert het gebruik van Defender for Cloud-triggers en het starten van een hersteltaak, wat directer door een Logic App via workflowautomatisering kan worden afgehandeld.