Prepará SC-200 con una referencia que recuerda tu progreso.

Sentinel puede ingerir, crear, administrar, consultar y operacionalizar indicadores para correlacionar telemetría con infraestructura y artefactos malintencionados conocidos.

CTI proviene de fuentes abiertas, comunidades, proveedores o investigaciones internas. Informes estratégicos y operativos describen actores, motivos, campañas y técnicas; indicadores tácticos describen IP, dominios, URL, hashes e IoC. Sentinel importa mediante conectores, administra, correlaciona con reglas, visualiza y usa en búsquedas.

El área permite ver, filtrar, buscar, crear, editar y etiquetar sin KQL. Las propiedades incluyen observable, confianza, descripción, origen, validez, tipo y etiquetas. Usá convenciones consistentes para actor, campaña, incidente, origen o clasificación; aplicá varias etiquetas y edición masiva.

Consultá la tabla para validar ingesta, encontrar indicadores activos, agrupar y correlacionar. Filtrá vencidos o revocados.

ThreatIntelligenceIndicator
| where Active == true
| where ExpirationDateTime > now()
| summarize Indicators = count() by ThreatType, SourceSystem

Normalizá observables, limitá intervalos de indicadores y eventos y usá el esquema actual del área.

Revisá fuentes CTI, informes frente a IoC, conectores, propiedades y etiquetas, filtros de actividad/vencimiento y operacionalización mediante análisis, búsqueda y libros.

La inteligencia aporta valor cuando los indicadores tienen origen, normalización, límites temporales, etiquetas, control de calidad y correlación relevante.