Why do automation rules in Microsoft Sentinel intermittently stop triggering even though they remain enabled and correctly configured?

Question

Why do automation rules in Microsoft Sentinel intermittently stop triggering even though they remain enabled and correctly configured?

Ayax OC 20

We have implemented automation rules in Microsoft Sentinel; however, these rules often appear to “deactivate” and stop working.

I use the term “deactivate” only as an example, as the rules are not actually turned off. All automation rules remain enabled and configured correctly, but for some reason, after a period of time, they stop triggering.

This is not an issue related to the Logic Apps, as they work correctly; the automation rules themselves simply stop being triggered.

Rukmini 43,995 Puntos de reputación Personal externo de Microsoft Moderador

2025-12-24T20:30:24.77+00:00

Hola Ayax OC Le daremos seguimiento para ver si la información anterior le resultó útil. Si tiene alguna otra pregunta, no dude en contactarnos.

Respuesta aceptada por el autor de la pregunta

0 respuestas adicionales

Su respuesta

Rukmini 43,995 Puntos de reputación Personal externo de Microsoft Moderador

2025-12-24T20:30:24.77+00:00

Hola Ayax OC Le daremos seguimiento para ver si la información anterior le resultó útil. Si tiene alguna otra pregunta, no dude en contactarnos.

Answer 1

Rukmini 43,995 Personal externo de Microsoft Moderador

Hola Ayax OC

Cuando se alcanzan las restricciones de ejecución (por incidente y por espacio de trabajo), Microsoft Sentinel limita silenciosamente las reglas de automatización.

Sentinel omite su activación sin problemas ni alertas mientras las reglas permanecen habilitadas. Esto no afecta a Logic Apps.

La clave es que, cuando se limitan las reglas de automatización, no hay reintentos ni advertencias y su ejecución no está garantizada.

Para solucionar el problema:

Limite la cantidad de reglas de automatización
Prefiero una regla → una aplicación lógica de orquestador
Evite el uso excesivo de desencadenadores actualizados por incidentes

Estoy traduciendo del inglés, así que disculpe cualquier error gramatical.

Avísame si tienes más preguntas. ¡No dudes en contactarme!

Ayax OC 20 Puntos de reputación

2025-12-29T18:10:34.11+00:00

Thank you for the detailed explanation and suggestions—they make a lot of sense and align with what we've observed. No worries about the English translation; feel free to reply in English to avoid any grammatical issues on my end.

Do you have an exact number for the execution limits (per incident or per workspace) before Sentinel starts silently throttling automation rules? Also, is there a way to increase these limits, and if so, how (e.g., via support ticket, pricing tier, or configuration)?

A bit more context: This automation is specifically for automatically closing certain types of low-risk incidents. We can't disable them directly in Defender for various compliance/policy reasons, so we opted for this Sentinel automation rule approach. Is there another recommended way to achieve automatic closure of incidents without relying on this type of automation rule (e.g., via analytics rules, custom connectors, or other features)?
Rukmini 43,995 Puntos de reputación Personal externo de Microsoft Moderador

2025-12-29T18:23:41.14+00:00
Ajax OC

Microsoft no divulga las restricciones precisas de las reglas de automatización en Sentinel.

No es posible aumentar estas restricciones dinámicas mediante el precio, la configuración ni el soporte.

Por diseño, Sentinel ignora las reglas de automatización de forma silenciosa cuando se alcanzan los límites.

Mejores prácticas:

Utilice una única aplicación lógica orquestadora que se active con una única regla de automatización.

Incorpore toda la lógica de cierre y filtrado de incidentes a la aplicación lógica.

Evite los activadores actualizados por incidentes siempre que sea posible.

Avísame si tienes más preguntas. ¡No dudes en contactarme!
Ayax OC 20 Puntos de reputación

2025-12-29T18:32:13.3333333+00:00

Gracias por la información, de momento con esto es suficiente para intentar encontrar una solución al respecto, muchas gracias.
Rukmini 43,995 Puntos de reputación Personal externo de Microsoft Moderador

2025-12-29T18:33:31.17+00:00

Hola Ayax OC Si la resolución fue útil, tómate un momento para hacer clic en aceptar respuesta y votarla positivamente 👍 como muestra de agradecimiento.