Ihre Organisation verwendet einen einzigen Microsoft Sentinel-Arbeitsbereich. Die Compliance erfordert, dass Windows SecurityEvent-Daten 180 Tage lang im Hot Storage aufbewahrt und dann archiviert werden, während Syslog-Daten 30 Tage lang aufbewahrt werden sollen. Um die Aufnahme zu reduzieren, sollten nur die Windows-Ereignis-IDs 4624, 4625 und 4688 gesammelt werden. Welche zwei Maßnahmen sollten Sie ergreifen?

Die Konfiguration von Aufbewahrungs- und Archivierungsrichtlinien auf Tabellenebene für SecurityEvent und Syslog ist korrekt, da dies die Anforderungen an unterschiedliche Aufbewahrungszeiten für Hot Storage und Archivierung pro Datentyp erfüllt. Eine Data Collection Rule (DCR) mit Datenerfassung und -transformation ist korrekt, da sie eine präzise Filterung der Windows-Ereignis-IDs 4624, 4625 und 4688 ermöglicht, um die Datenaufnahme zu reduzieren. Eine tägliche Obergrenze würde die Aufnahme nicht selektiv filtern und die Aufbewahrungsanforderungen nicht erfüllen. Separate Arbeitsbereiche wären unnötig komplex und würden zusätzliche Kosten verursachen, da tabellenspezifische Einstellungen möglich sind. Der ältere Security Events-Konnektor ist nicht die empfohlene Methode und bietet keine besseren Funktionen als AMA für diese Anforderung.