Sie haben 200 lokale Windows- und Linux-Server, die über Azure Arc verbunden sind. Sie möchten Windows-Sicherheitsereignisse und Syslog mithilfe des Azure Monitor Agent in einen Microsoft Sentinel-Arbeitsbereich aufnehmen und dabei den älteren Log Analytics-Agent vermeiden. Welche zwei Aktionen sollten Sie durchführen?

Um Windows-Sicherheitsereignisse und Syslog über den Azure Monitor Agent (AMA) in Sentinel aufzunehmen, müssen Sie zunächst die AMA-Erweiterung auf den Arc-fähigen Servern bereitstellen. Dies ist der Agent, der die Daten sammelt und an Azure Monitor sendet. Anschließend aktivieren Sie in Microsoft Sentinel den Connector „Windows Security Events via AMA“. Dieser Connector erstellt und weist eine Datensammlungsregel (DCR) zu, die definiert, welche Ereignisse gesammelt werden sollen, und stellt sicher, dass die Daten an den richtigen Sentinel-Arbeitsbereich gesendet werden. Der Log Analytics-Agent (MMA) ist eine ältere Lösung, die vermieden werden soll. Windows Event Forwarding ist eine Methode zur Ereignissammlung, aber AMA kann Sicherheitsereignisse direkt sammeln, ohne sich auf das ForwardedEvents-Protokoll verlassen zu müssen. Azure Automation ist für die Automatisierung und nicht für die Protokollsammlung konzipiert.