Tiene una suscripción de Azure con varias bases de datos de Azure SQL y un espacio de trabajo de Azure Sentinel. Para crear una consulta guardada en el espacio de trabajo que encuentre eventos reportados por Azure Defender for SQL, ¿dónde debería crear la consulta?

La opción correcta es crear una consulta Kusto Query Language (KQL) desde el espacio de trabajo de Azure Sentinel. Azure Sentinel utiliza KQL para consultar datos de logs, incluidos los eventos de seguridad reportados por Azure Defender for SQL. Estos eventos se ingieren en el espacio de trabajo de Log Analytics asociado a Sentinel. Las opciones incorrectas son: Ejecutar un cmdlet de Azure CLI solo recuperaría información del espacio de trabajo, no crearía una consulta dentro de él. Crear una consulta Transact-SQL desde el editor de Azure SQL Database o SSMS solo consultaría la base de datos SQL directamente, no los logs de seguridad centralizados en Sentinel.