Je SOC moet buitensporige mislukte aanmeldingen binnen één minuut detecteren en ook geavanceerde meerfasige aanvallen detecteren aan de hand van signalen van meerdere Microsoft-beveiligingsproducten, zonder aangepaste correlatielogica te schrijven. Welke twee configuraties in Microsoft Sentinel moet je implementeren?

De vereiste om buitensporige mislukte aanmeldingen binnen één minuut te detecteren, wordt het best aangepakt met een Near Real-Time (NRT) analytics-regel. Deze regels zijn ontworpen voor snelle detectie en kunnen elke minuut worden uitgevoerd, wat voldoet aan de gespecificeerde tijdslijn. Een geplande analytics-regel die elke 5 minuten wordt uitgevoerd, zou niet voldoen aan de vereiste van detectie binnen één minuut. Voor de detectie van geavanceerde meerfasige aanvallen zonder aangepaste correlatielogica, is het inschakelen van de ingebouwde Fusion (Advanced Multistage Attack Detection)-regel de meest effectieve oplossing. Fusion gebruikt AI en machine learning om automatisch signalen van verschillende Microsoft-beveiligingsproducten te correleren en complexe aanvallen te identificeren. Hoewel UEBA (User and Entity Behavior Analytics) nuttig is voor het detecteren van afwijkend gedrag, correleert het niet automatisch meerfasige aanvallen op de manier waarop Fusion dat doet, en het vereist vaak aanvullende regels of analyses. Livestream-queries zijn bedoeld voor ad-hoc onderzoek en continue monitoring, niet voor geautomatiseerde waarschuwingen en detectie zoals analytics-regels.