W obszarze roboczym Microsoft Sentinel analitycy zgłaszają wiele oddzielnych incydentów wygenerowanych z tego samego hosta podczas 24-godzinnej kampanii typu brute-force. Chcą również szybko wizualizować powiązane alerty, użytkowników, hosty i adresy IP związane z incydentem. Jakie dwie czynności należy wykonać?

Edytowanie reguły analitycznej i włączenie grupowania alertów według kluczowych encji (takich jak host i użytkownik) w okresie 24 godzin skutecznie zmniejszy liczbę oddzielnych incydentów generowanych z tego samego hosta podczas kampanii brute-force, konsolidując powiązane alerty w jeden incydent. Otwarcie incydentu i użycie widoku Investigation pozwala analitykom szybko wizualizować powiązane alerty, użytkowników, hosty i adresy IP w postaci grafu, co ułatwia zrozumienie kontekstu i powiązań. Zmniejszenie retencji obszaru roboczego Log Analytics nie wpływa na grupowanie incydentów, a jedynie na dostępność danych historycznych. Globalne wyłączenie tworzenia incydentów dla reguł o niskim priorytecie zmniejszyłoby szum, ale nie grupowałoby powiązanych zdarzeń w jeden incydent.