Ваш SOC ежедневно ведет CSV-файл с IPAddress и Action (Allow/Deny). Вам необходимо использовать его в Microsoft Sentinel для обогащения правил аналитики, чтобы они выдавали оповещения, когда IP-адрес с действием Deny появляется в данных о входах в систему, и список должен автоматически обновляться каждое утро из безопасного хранилища. Какие два действия следует предпринять?

1. Создать список наблюдения, который импортируется из BLOB-объекта учетной записи хранения через SAS, и настроить ежедневный повторяющийся импорт для его синхронизации. Это позволит автоматически обновлять список IP-адресов каждое утро из безопасного хранилища (хранилище BLOB-объектов Azure с SAS-токеном обеспечивает безопасность и доступность). 2. В KQL правила аналитики сослаться на список наблюдения с помощью GetWatchlist('ListName') и выдавать оповещение, когда Action == "Deny" для соответствующего IP. Функция GetWatchlist() позволяет использовать данные из списка наблюдения непосредственно в запросах KQL для обогащения правил аналитики. Неправильные варианты: Загрузить CSV-файл один раз как список наблюдения без расписания обновления: Не соответствует требованию ежедневного автоматического обновления. Использовать коннектор Threat Intelligence - TAXII: TAXII предназначен для обмена индикаторами угроз, а не для импорта произвольных CSV-файлов с IP-адресами и действиями. Создать параметр книги для CSV-файла: Параметры книг не предназначены для автоматического обновления и использования в правилах аналитики Sentinel.