Microsoft Sentinel çalışma alanınızda analistler, 24 saatlik bir kaba kuvvet saldırısı sırasında aynı ana bilgisayardan birçok ayrı olay (incident) oluşturulduğunu rapor ediyor. Ayrıca, bir olaya bağlı ilgili uyarıları (alerts), kullanıcıları, ana bilgisayarları ve IP'leri hızlı bir şekilde görselleştirmek istiyorlar. Hangi iki eylemi gerçekleştirmelisiniz?

Kaba kuvvet saldırısı sırasında birçok olayın tek bir ana bilgisayardan gelmesi, olay yayılımını azaltmak için uyarı gruplamayı gerektirir. Analiz kuralını düzenleyerek ve 24 saatlik bir süre boyunca anahtar varlıklara (ana bilgisayar ve kullanıcı gibi) göre uyarı gruplamayı etkinleştirerek, ilgili uyarılar tek bir olay altında toplanır. Bu, analistlerin aynı saldırıya ait birden çok olayı yönetmek yerine tek bir kapsamlı olayla ilgilenmesini sağlar. İkinci olarak, bir olaya bağlı ilgili uyarıları, varlıkları ve IP'leri hızlı bir şekilde görselleştirmek için Investigation görünümü kullanılır. Bu görünüm, olayın bağlamını ve ilişkilerini gösteren bir araştırma grafiği sunarak analistlerin saldırıyı daha etkili bir şekilde anlamasına ve yanıt vermesine yardımcı olur. Diğer seçenekler yanlıştır: Log Analytics çalışma alanı saklama süresini düşürmek, olay yayılımını azaltmaz, sadece verilerin saklanma süresini kısaltır ve geçmiş analiz yeteneğini kısıtlar. Düşük önem dereceli kurallar için olay oluşturmayı genel olarak devre dışı bırakmak, önemli olabilecek uyarıların gözden kaçmasına neden olabilir. Analiz kurallarında varlık eşlemeyi kapatmak, uyarıların birden çok olayla ilişkilendirilmesini engellemek yerine, olayların zenginleştirilmesini ve korelasyonunu zorlaştırır.