Al usar el Agente de Azure Monitor y una regla de recopilación de datos para recopilar solo las entradas del registro de eventos del sistema de Windows con el ID de evento 1001, ¿qué tipo de consulta debe usar para el origen de datos?

XPath es el tipo de consulta correcto porque se utiliza específicamente para filtrar eventos de registro de Windows. Permite especificar criterios detallados, como el ID de evento (por ejemplo, 1001), para seleccionar entradas de registro particulares. KQL (Kusto Query Language) se usa para consultar datos ya ingeridos en Azure Monitor Logs, no para la recopilación inicial de datos del agente. SQL se usa para consultar bases de datos relacionales y no es aplicable para filtrar registros de eventos de Windows en este contexto.