你有一个 Log Analytics 工作区 (Workspace1) 和 100 台 Windows Server VM。Microsoft Defender for Servers Plan 2 已启用并配置为监控 VM 上的 Windows 文件和注册表更改。你应该查询哪个 Log Analytics 表来检索检测到的文件和注册表更改事件？

正确的答案是 DeviceRegistryEvents。此表记录了设备上注册表事件的详细信息，包括创建、修改和删除。由于 Defender for Servers Plan 2 配置为监控 Windows 文件和注册表更改，因此这些更改事件将记录在此表中。MDCDetectionFimEvents 表用于记录文件完整性监控 (FIM) 检测到的事件，但它不是直接用于查询原始文件和注册表更改事件的表。ASimFileEventLogs 和 ASimRegistryEventLogs 是高级安全信息模型 (ASIM) 的一部分，用于规范化不同来源的事件，但原始事件通常存储在更具体的表中，例如 DeviceRegistryEvents。