Sie haben ein Azure-Abonnement mit mehreren Azure SQL-Datenbanken und einem Azure Sentinel-Arbeitsbereich. Wo sollten Sie die Abfrage erstellen, um eine gespeicherte Abfrage im Arbeitsbereich zu erstellen, die von Azure Defender for SQL gemeldete Ereignisse findet?

Die korrekte Antwort ist, eine Kusto-Abfragesprache (KQL)-Abfrage im Azure Sentinel-Arbeitsbereich zu erstellen. Azure Defender for SQL sendet seine Sicherheitsprotokolle an Azure Sentinel (genauer gesagt an den Log Analytics-Arbeitsbereich, der Sentinel zugrunde liegt). KQL ist die Abfragesprache, die in Azure Monitor Log Analytics und Azure Sentinel verwendet wird, um diese Protokolle zu analysieren. Eine gespeicherte Abfrage in Sentinel ermöglicht es Ihnen, diese Abfrage wiederzuverwenden und zu planen, um Bedrohungen zu erkennen. Die anderen Optionen sind falsch, weil: Das Cmdlet Get-AzOperationalInsightsWorkspace in der Azure CLI dient zum Abrufen von Arbeitsbereichsinformationen, nicht zum Erstellen von Abfragen. Das Erstellen einer Transact-SQL-Abfrage im Abfrage-Editor der Azure SQL-Datenbank oder in SSMS würde Abfragen direkt in der SQL-Datenbank ausführen, nicht aber die Sicherheitsprotokolle analysieren, die von Azure Defender for SQL an Sentinel gesendet werden.