Su organización utiliza un único espacio de trabajo de Microsoft Sentinel. El cumplimiento requiere que los datos de SecurityEvent de Windows se retengan durante 180 días en almacenamiento frecuente (hot storage) y luego se archiven, mientras que los datos de Syslog deben retenerse durante 30 días. Para reducir la ingesta, solo se deben recopilar los ID de evento de Windows 4624, 4625 y 4688. ¿Qué dos acciones debe realizar?

La configuración de políticas de retención y archivo a nivel de tabla en las tablas SecurityEvent y Syslog permite cumplir con los requisitos de retención específicos para cada tipo de dato, optimizando costos al archivar datos menos consultados. La creación de una Data Collection Rule (DCR) con transformación de datos garantiza que solo los ID de evento de Windows 4624, 4625 y 4688 se ingieran, reduciendo significativamente el volumen de datos y los costos de ingesta. Un límite diario del espacio de trabajo es una medida de control de costos general, no una solución granular para la retención. Crear espacios de trabajo separados es innecesario y aumenta la complejidad administrativa, ya que la retención a nivel de tabla es posible. El conector heredado de Security Events no ofrece las capacidades de filtrado y transformación de datos avanzadas de las DCRs.