Votre organisation utilise un seul espace de travail Microsoft Sentinel. La conformité exige que les données Windows SecurityEvent soient conservées pendant 180 jours dans le stockage à chaud, puis archivées, tandis que les données Syslog doivent être conservées pendant 30 jours. Pour réduire l'ingestion, seuls les ID d'événement Windows 4624, 4625 et 4688 doivent être collectés. Quelles sont les deux actions à entreprendre ?

La configuration de stratégies de rétention et d'archivage au niveau de la table est essentielle pour répondre aux exigences de conformité spécifiques pour les données SecurityEvent et Syslog, permettant des périodes de rétention à chaud et d'archivage différentes pour chaque type de données. La création d'une règle de collecte de données (DCR) avec transformation est nécessaire pour filtrer les ID d'événement Windows spécifiques (4624, 4625, 4688) avant l'ingestion, réduisant ainsi le volume de données et les coûts. Les options incorrectes sont : Un plafond quotidien d'espace de travail contrôle les coûts d'ingestion mais ne gère pas la rétention et l'archivage spécifiques par table. La création d'espaces de travail séparés serait une solution coûteuse et inutile, car la rétention au niveau de la table permet de gérer différentes exigences au sein d'un même espace de travail. Le connecteur d'événements de sécurité hérité est déprécié ; l'Agent Azure Monitor (AMA) et les DCR sont la méthode recommandée et plus flexible pour la collecte de données.