Podczas poszukiwania zagrożeń w Microsoft Sentinel uruchamiasz zapytanie KQL, które identyfikuje podejrzaną aktywność pobierania PowerShell na pięciu hostach. Chcesz zachować każde znalezisko wraz z powiązanymi encjami, a następnie otworzyć pojedynczą sprawę, która zgrupowałaby je wszystkie dla zespołu reagowania na incydenty. Jakie dwie czynności należy wykonać?

Aby zachować każde znalezisko i powiązane encje, a następnie utworzyć pojedynczy incydent grupujący je wszystkie, należy najpierw dodać zakładki. W wynikach polowania wybierz każdy wiersz odpowiadający podejrzanej aktywności i utwórz zakładkę (bookmark), mapując odpowiednie encje (np. hosty, użytkowników) i dodając tagi dla lepszej organizacji. Zakładki służą do trwałego zapisywania interesujących wyników zapytań KQL. Następnie, w panelu zakładek, wybierz wszystkie utworzone zakładki, które dotyczą tego samego zdarzenia, i wybierz opcję „Utwórz incydent”. Spowoduje to wygenerowanie jednego incydentu w Microsoft Sentinel, który będzie zawierał wszystkie wybrane zakładki, ułatwiając zespołowi reagowania na incydenty analizę i zarządzanie. Eksportowanie do CSV i dołączanie do systemu ITSM omija funkcjonalność zarządzania incydentami w Sentinel. Zapisanie zapytania jako zaplanowanej reguły analitycznej jest przydatne do przyszłego wykrywania, ale nie rozwiązuje problemu zachowania bieżących znalezisk. Dodanie hostów do listy obserwowanych nie tworzy automatycznie incydentu na podstawie bieżących wyników polowania.