Welchen Abfragetyp sollten Sie für die Datenquelle verwenden, wenn Sie den Azure Monitor Agent und eine Datensammlungsregel verwenden, um nur Windows-Systemereignisprotokolleinträge mit der Ereignis-ID 1001 zu sammeln?

XPath ist die korrekte Wahl, da es speziell für die Abfrage von XML-strukturierten Daten, wie sie in Windows-Ereignisprotokollen vorliegen, entwickelt wurde. Der Azure Monitor Agent und Datensammlungsregeln nutzen XPath-Abfragen, um genau die gewünschten Ereignisse (hier Ereignis-ID 1001) aus den Windows-Ereignisprotokollen zu filtern und zu sammeln. SQL ist eine Abfragesprache für relationale Datenbanken und nicht direkt für Ereignisprotokolle geeignet. KQL (Kusto Query Language) wird verwendet, um Daten abzufragen, die bereits in Azure Monitor Logs (Log Analytics-Arbeitsbereichen) gespeichert sind, aber nicht für die Filterung am Quellsystem durch den Azure Monitor Agent.