Twój zespół chce, aby incydenty o wysokiej ważności typu „Impossible travel” automatycznie wyłączały użytkownika w Microsoft Entra ID, dodawały źródłowy adres IP do listy obserwowanych Sentinel i publikowały wiadomość na kanale SOC Microsoft Teams. Użyjesz podręcznika Logic App z tożsamością zarządzaną. Jakie dwie czynności należy wykonać?

Aby zautomatyzować reagowanie na incydenty, należy zbudować podręcznik Logic App. Musi on używać wyzwalacza incydentów Microsoft Sentinel, aby reagować na nowo utworzone incydenty. Włączenie tożsamości zarządzanej przypisanej przez system jest kluczowe dla bezpiecznego uwierzytelniania w innych usługach Azure bez przechowywania poświadczeń. Uprawnienia Entra ID User Administrator są potrzebne do wyłączenia użytkownika, a Microsoft Sentinel Contributor do dodania adresu IP do listy obserwowanych. Następnie, aby ten podręcznik uruchamiał się automatycznie dla konkretnych incydentów, należy utworzyć regułę automatyzacji w Microsoft Sentinel. Ta reguła powinna filtrować incydenty o wysokiej ważności z tytułem zawierającym „Impossible travel” i uruchamiać stworzony podręcznik Logic App. Tworzenie grupy akcji Azure Monitor nie jest właściwe, ponieważ reguły automatyzacji Sentinel bezpośrednio wywołują podręczniki. Przypisanie roli Owner w katalogu głównym subskrypcji jest nadmiernym uprawnieniem i narusza zasadę najmniejszych uprawnień. Podręczniki Logic App w warstwie Consumption mogą być wyzwalane przez Sentinel, więc konwersja na Standard nie jest wymagana w tym scenariuszu.