Para investigar eventos de seguridad generados por una máquina virtual con Windows Server 2016, ¿qué capacidad de Azure Monitor debería usar?

La opción correcta es Logs. Azure Monitor Logs (anteriormente Log Analytics) es la capacidad de Azure Monitor diseñada para recopilar, indexar y consultar grandes volúmenes de datos de registro de diversas fuentes, incluidas máquinas virtuales con Windows Server. Permite realizar búsquedas complejas, análisis y visualizaciones de eventos de seguridad y otros datos operativos. Application Log no es una capacidad de Azure Monitor; se refiere a un tipo de registro dentro de un sistema operativo o aplicación. Metrics se utiliza para recopilar datos numéricos en un momento dado, como el uso de CPU o la memoria, no para eventos de seguridad detallados. Activity Log registra eventos de control y administración en Azure (quién hizo qué, cuándo y dónde), no eventos de seguridad generados dentro de una máquina virtual.