В рабочей области Microsoft Sentinel аналитики сообщают о множестве отдельных инцидентов, сгенерированных одним и тем же хостом во время 24-часовой кампании по подбору паролей методом перебора. Они также хотят быстро визуализировать связанные оповещения, пользователей, хосты и IP-адреса, привязанные к инциденту. Какие два действия следует предпринять?

1. Отредактируйте правило аналитики и включите группировку оповещений, группируя по ключевым сущностям (таким как хост и пользователь) в течение 24 часов, чтобы уменьшить разрастание инцидентов. Это позволит Sentinel объединять многочисленные оповещения, связанные с одним и тем же хостом и пользователем в течение заданного временного окна, в один инцидент, что значительно снизит количество отдельных инцидентов. 2. Откройте инцидент и используйте представление Investigation, чтобы перемещаться по графу расследования связанных оповещений, сущностей и доказательств. Представление Investigation в Sentinel предоставляет наглядный граф, который позволяет аналитикам быстро увидеть связи между оповещениями, пользователями, хостами и IP-адресами, относящимися к инциденту, что критически важно для понимания масштаба и характера атаки. Неправильные действия: Сокращение срока хранения данных не решит проблему разрастания инцидентов и может привести к потере важных данных для расследования. Глобальное отключение создания инцидентов для правил с низкой серьезностью может привести к пропуску важных событий, которые в совокупности могут указывать на серьезную атаку. Отключение сопоставления сущностей в правилах аналитики помешает Sentinel связывать оповещения с соответствующими объектами, что затруднит расследование.