Zespół SOC musi wykrywać ryzykowne zachowania związane z logowaniem (takie jak niemożliwe podróże) na podstawie dzienników logowania Azure AD i danych audytu Microsoft 365, a także korelować alerty punktów końcowych z Microsoft Defender for Endpoint. Gdy pojawi się alert o wysokiej wierności, konto powinno zostać automatycznie wyłączone i powinno zostać otwarte zgłoszenie w ServiceNow. Projektujesz Microsoft Sentinel dla tego scenariusza. Które dwie konfiguracje należy zaimplementować? Każda poprawna odpowiedź stanowi część rozwiązania.

Aby wykrywać ryzykowne zachowania, należy podłączyć odpowiednie źródła danych do Microsoft Sentinel. Wbudowane konektory danych dla dzienników logowania Azure AD, Office 365 i Microsoft Defender for Endpoint są niezbędne do zbierania wymaganych danych. Następnie, reguły analityczne (zaplanowane lub oparte na szablonach bezpieczeństwa Microsoft) są kluczowe do wykrywania anomalii, takich jak niemożliwe podróże. Playbooki Logic Apps są idealnym rozwiązaniem do automatyzacji odpowiedzi na alerty, umożliwiając wyłączenie konta w Entra ID i utworzenie zgłoszenia w ServiceNow. Pozostałe opcje są nieprawidłowe: runbooki Azure Automation są alternatywą, ale playbooki Logic Apps są preferowanym i bardziej zintegrowanym rozwiązaniem w Sentinel. Agent Syslog nie jest używany do przekazywania zdarzeń logowania Azure AD, a UEBA (User and Entity Behavior Analytics) jest uzupełnieniem, a nie zastępstwem dla reguł analitycznych w tym scenariuszu.