要调查 Windows Server 2016 虚拟机生成的安全事件，应使用哪种 Azure Monitor 功能？

要调查 Windows Server 2016 虚拟机生成的安全事件，应使用 Azure Monitor 的 Logs 功能。Logs（日志）收集并存储来自各种源（包括虚拟机、操作系统和应用程序）的日志数据，使其成为安全事件分析的理想选择。通过 Log Analytics 工作区，您可以查询和分析这些日志，以识别异常活动、安全威胁和合规性问题。 Application Log（应用程序日志）通常指虚拟机内部的特定应用程序日志，虽然重要，但不如 Azure Monitor Logs 提供全面的系统级和跨资源的安全事件视图。Metrics（指标）主要用于监控性能数据，例如 CPU 使用率或网络吞吐量，而不是详细的安全事件信息。Activity Log（活动日志）记录 Azure 资源层面的管理操作，例如资源的创建或删除，但不会记录虚拟机内部操作系统或应用程序生成的安全事件。