Jouw SOC onderhoudt dagelijks een CSV-bestand met IPAddress en Action (Allow/Deny). Je moet dit gebruiken in Microsoft Sentinel om analyseregels te verrijken, zodat ze waarschuwen wanneer een Deny IP voorkomt in aanmeldingsgegevens, en de lijst moet elke ochtend automatisch worden bijgewerkt vanuit een veilige opslaglocatie. Welke twee acties moet je ondernemen?

De eerste correcte actie is het aanmaken van een watchlist die importeert vanuit een Storage account blob via SAS en een dagelijkse terugkerende import configureert. Dit zorgt ervoor dat de lijst elke ochtend automatisch wordt bijgewerkt vanuit een veilige opslaglocatie, zoals vereist. De tweede correcte actie is het verwijzen naar de watchlist in de KQL van de analyseregel met behulp van GetWatchlist('ListName') en te waarschuwen wanneer Action == "Deny" voor een overeenkomstig IP-adres. Dit integreert de dynamische lijst effectief in de analyseregels. Het eenmalig uploaden van de CSV als een watchlist zonder vernieuwingsschema voldoet niet aan de eis van dagelijkse automatische updates. Het gebruik van de Threat Intelligence - TAXII connector is niet geschikt voor het importeren van een interne CSV-lijst; deze is bedoeld voor externe dreigingsfeeds. Een workbook-parameter is bedoeld voor visualisatie en interactieve rapportage, niet voor het verrijken van geplande analyseregels.