Sie haben einen Microsoft Sentinel-Arbeitsbereich, der Protokolle von 100 virtuellen Windows Server-Maschinen sammelt. Welche Tabelle sollten Sie abfragen, um fehlgeschlagene Anmeldeereignisse (Logon) in den gesammelten Daten zu finden?

Die Tabelle SecurityEvent in Azure Monitor Logs (und damit in Microsoft Sentinel) speichert Sicherheitsereignisse, die von Windows-Systemen gesammelt werden, einschließlich Anmeldeereignissen. Fehlgeschlagene Anmeldeversuche auf Windows Servern werden als spezifische Ereignis-IDs (z.B. 4625) in dieser Tabelle protokolliert. SigninLogs enthält Anmeldeereignisse aus Azure Active Directory (Azure AD) und nicht direkt von Windows Servern. SecurityIncident ist eine Tabelle, die von Microsoft Sentinel generierte Incidents speichert, nicht die Rohdaten der Sicherheitsereignisse. AuditLogs speichert Audit-Protokolle von Azure AD und anderen Microsoft 365-Diensten, nicht die lokalen Sicherheitsereignisse von Windows Servern.