Je team wil dat 'Impossible travel'-incidenten met hoge ernst automatisch de betreffende gebruiker in Microsoft Entra ID uitschakelen, het bron-IP-adres toevoegen aan een Sentinel-watchlist en een bericht plaatsen in een SOC Microsoft Teams-kanaal. Je gebruikt een Logic App-playbook met een managed identity. Welke twee acties moet je uitvoeren?

Om de vereiste automatisering te realiseren, moet je eerst een Logic App-playbook bouwen. Dit playbook moet de 'Microsoft Sentinel incident'-trigger gebruiken, omdat het reageert op Sentinel-incidenten. Een door het systeem toegewezen beheerde identiteit is nodig voor veilige authenticatie en autorisatie. Deze identiteit heeft 'Entra ID User Administrator'-machtigingen nodig om gebruikers in Microsoft Entra ID uit te schakelen en 'Microsoft Sentinel Contributor'-machtigingen om de Sentinel-watchlist te beheren. Vervolgens moet je een Microsoft Sentinel-automatiseringsregel maken. Deze regel dient te filteren op incidenten met 'Severity = High' en 'Title contains "Impossible travel"' om alleen de relevante incidenten te targeten. De automatiseringsregel roept dan het geconfigureerde Logic App-playbook aan. De optie om een Azure Monitor-actiegroep te maken is incorrect, omdat Sentinel-incidenten direct automatiseringsregels gebruiken, niet Azure Monitor-actiegroepen. Het toewijzen van de 'Owner'-rol op de root van het abonnement is een overmatige en onveilige machtiging; het principe van minimale privileges moet worden gevolgd. Het converteren naar een Standard Logic App is niet nodig; Consumption Logic Apps kunnen prima door Sentinel getriggerd worden en zijn geschikt voor dit scenario.