Welke twee gebeurtenissen kunnen in een Azure Sentinel-werkruimte een playbook activeren?

Een playbook in Azure Sentinel kan automatisch worden geactiveerd door twee belangrijke gebeurtenissen: wanneer een Azure Sentinel-waarschuwing wordt gegenereerd of wanneer een Azure Sentinel-incident wordt aangemaakt. Wanneer een Azure Sentinel-waarschuwing wordt gegenereerd, kan een playbook direct reageren op specifieke beveiligingsvondsten. Dit is nuttig voor snelle, geautomatiseerde acties op basis van individuele waarschuwingen. Wanneer een Azure Sentinel-incident wordt aangemaakt, wat vaak meerdere gerelateerde waarschuwingen omvat, kan een playbook uitgebreidere automatiseringsstappen uitvoeren, zoals het verzamelen van aanvullende informatie, het isoleren van getroffen systemen, of het notificeren van beveiligingsteams. De andere opties zijn onjuist: Een geplande queryregel van Azure Sentinel wordt uitgevoerd: De uitvoering van de query zelf activeert geen playbook; het is de waarschuwing die daaruit voortvloeit die de trigger kan zijn. Er wordt een Azure Sentinel-gegevensconnector toegevoegd: Dit is een configuratie-actie, geen operationele beveiligingsgebeurtenis die een playbook activeert. Een Azure Sentinel-huntingqueryresultaat wordt geretourneerd: Huntingquery's zijn proactieve zoekopdrachten; hun resultaten activeren geen playbooks, tenzij ze handmatig worden omgezet in waarschuwingen of incidenten.