Twój SOC codziennie utrzymuje plik CSV z polami IPAddress i Action (Allow/Deny). Musisz go użyć w Microsoft Sentinel, aby wzbogacić reguły analityczne, tak aby alarmowały, gdy adres IP z akcją Deny pojawi się w danych logowania, a lista musi być automatycznie aktualizowana każdego ranka z bezpiecznej lokalizacji przechowywania. Jakie dwie czynności należy wykonać?

Prawidłowe odpowiedzi to utworzenie listy obserwowanych (watchlist) i odwołanie się do niej w KQL. Lista obserwowanych w Microsoft Sentinel pozwala na importowanie danych z zewnętrznych źródeł, takich jak pliki CSV przechowywane w Azure Blob Storage. Konfiguracja codziennego, cyklicznego importu z użyciem SAS (Shared Access Signature) zapewnia automatyczną aktualizację listy, co jest kluczowe dla utrzymania synchronizacji danych. Następnie, w regule analitycznej KQL, funkcja GetWatchlist('ListName') służy do odwołania się do tej listy. Pozwala to na porównywanie adresów IP z danych logowania z adresami IP na liście obserwowanych, generując alerty, gdy akcja to "Deny". Pozostałe opcje są nieprawidłowe, ponieważ: Jednorazowe przesłanie pliku CSV bez harmonogramu odświeżania nie zapewni automatycznej aktualizacji. Użycie łącznika Threat Intelligence - TAXII jest przeznaczone do pozyskiwania wskaźników zagrożeń z ustandaryzowanych źródeł, a nie do importowania niestandardowych plików CSV. Parametr skoroszytu służy do wizualizacji danych w skoroszytach, a nie do wzbogacania reguł analitycznych w czasie rzeczywistym.