Ekibiniz, yüksek önem dereceli "İmkansız seyahat" olaylarının Microsoft Entra ID'deki etkilenen kullanıcıyı otomatik olarak devre dışı bırakmasını, kaynak IP'yi bir Sentinel izleme listesine eklemesini ve bir SOC Microsoft Teams kanalına mesaj göndermesini istiyor. Yönetilen kimliğe sahip bir Logic App playbook'u kullanacaksınız. Hangi iki eylemi gerçekleştirmelisiniz?

Doğru cevaplar, istenen otomasyonu elde etmek için gerekli adımları açıklar. İlk olarak, bir Logic App playbook'u oluşturulmalı ve Microsoft Sentinel olay tetikleyicisini kullanmalıdır. Bu playbook'un Entra ID'deki kullanıcıları devre dışı bırakabilmesi için Entra ID User Administrator rolüne ve Sentinel izleme listelerini güncelleyebilmesi için Microsoft Sentinel Contributor rolüne sahip sistem tarafından atanan yönetilen bir kimliğe ihtiyacı vardır. İkinci olarak, "Impossible travel" olaylarını filtreleyen ve bu playbook'u çalıştıran bir otomasyon kuralı oluşturulmalıdır. Bu kural, belirli koşullar karşılandığında playbook'un otomatik olarak tetiklenmesini sağlar. Yanlış seçenekler: Azure Monitör eylem grubu, Sentinel olaylarını tetiklemek için birincil yöntem değildir; otomasyon kuralları bu amaç için tasarlanmıştır. Yönetilen kimliğe abonelik kökünde Owner rolü vermek, gerekli olandan çok daha fazla izin verir ve en az ayrıcalık ilkesini ihlal eder. Sentinel, Consumption Logic App'lerini tetikleyebilir ve özel bağlayıcılar için Standard Logic App'e dönüştürmek her zaman gerekli değildir; bu senaryoda Consumption planı yeterlidir.