你有一个 Microsoft Sentinel 工作区，它从 100 台 Windows Server 虚拟机收集日志。要查找收集数据中的失败登录事件，应该查询哪个表？

正确答案是 SecurityEvent。在 Microsoft Sentinel 中，来自 Windows Server 虚拟机的安全事件（包括失败登录尝试）通常存储在 SecurityEvent 表中。这个表包含了 Windows 安全事件日志中的数据，是分析服务器安全活动的主要来源。 SigninLogs 表主要用于存储 Azure Active Directory (Azure AD) 的登录活动，而不是 Windows Server 虚拟机本身的登录事件。SecurityIncident 表用于存储 Sentinel 检测到的安全事件和警报，而不是原始日志数据。AuditLogs 表通常用于存储 Azure AD 或其他 Azure 服务的审计日志，而不是 Windows Server 的本地安全事件。