您的组织使用单个 Microsoft Sentinel 工作区。合规性要求 Windows SecurityEvent 数据在热存储中保留 180 天，然后进行归档，而 Syslog 数据应保留 30 天。为了减少摄取量，只应收集 Windows 事件 ID 4624、4625 和 4688。您应该采取哪两项措施？

配置表级保留和归档策略是正确的，因为这允许您为 SecurityEvent 和 Syslog 表设置不同的热存储和归档期限，满足合规性要求。创建具有数据收集规则 (DCR) 的数据收集和转换功能是正确的，因为 DCR 允许您筛选要收集的特定 Windows 事件 ID (4624、4625 和 4688)，从而减少不必要的摄取量。启用工作区每日上限会限制所有数据的摄取，而不是针对特定表或事件进行精细控制。为 SecurityEvent 和 Syslog 创建单独的工作区会增加管理复杂性，并且不符合使用单个工作区的要求。切换到旧版 Security Events 连接器是不推荐的，因为 AMA (Azure Monitor Agent) 是推荐的现代代理，并且提供了更灵活的数据收集和筛选功能。