Bir SOC ekibinin, Azure AD oturum açma günlüklerine ve Microsoft 365 denetim verilerine dayanarak riskli oturum açma davranışlarını (imkansız seyahat gibi) tespit etmesi ve Microsoft Defender for Endpoint'ten gelen uç nokta uyarılarını ilişkilendirmesi gerekiyor. Yüksek güvenilirlikli bir uyarı tetiklendiğinde, hesap otomatik olarak devre dışı bırakılmalı ve bir ServiceNow olayı açılmalıdır. Bu senaryo için Microsoft Sentinel tasarlıyorsunuz. Hangi iki yapılandırmayı uygulamalısınız? Her doğru cevap çözümün bir parçasını sunar.

Bu senaryo, Azure Sentinel'in güvenlik bilgileri ve olay yönetimi (SIEM) ve güvenlik düzenlemesi, otomasyonu ve yanıtı (SOAR) yeteneklerini kullanmayı gerektirir. İlk olarak, Azure AD oturum açma günlükleri, Office 365 denetim verileri ve Microsoft Defender for Endpoint uyarıları gibi ilgili veri kaynaklarının Sentinel'e alınması gerekir. Bu, yerleşik veri bağlayıcıları kullanılarak kolayca yapılır. İkinci olarak, riskli davranışları tespit etmek için analitik kurallar (zamanlanmış veya Microsoft güvenlik kuralı şablonları) oluşturulmalıdır. Bu kurallar tetiklendiğinde, otomatik yanıt için bir Logic Apps playbook'u çağrılmalıdır. Bu playbook, hesabı devre dışı bırakma ve ServiceNow'da bir olay oluşturma gibi eylemleri gerçekleştirecektir. Diğer seçenekler yanlıştır çünkü: Azure Automation runbook'ları yerine Logic Apps playbook'ları Sentinel ile daha entegre ve esnek bir otomasyon sağlar. Azure AD oturum açma olayları doğrudan bağlayıcılar aracılığıyla alınabilir, Syslog aracısına gerek yoktur. UEBA, anormallik tespiti için faydalı olsa da, belirli senaryolar için analitik kurallar oluşturmak daha hassas ve kontrol edilebilir bir yanıt sağlar.