Vous avez 20 machines virtuelles Windows Server sur site et un abonnement Azure avec un espace de travail Microsoft Sentinel (Workspace1). Vous devez collecter et transférer les événements des machines virtuelles sur site vers Workspace1 et pouvoir appliquer des filtres pour réduire le volume d'événements collectés. Quels sont les deux composants que vous devez installer sur chaque machine virtuelle ?

Pour collecter et filtrer les événements des machines virtuelles Windows Server sur site vers Microsoft Sentinel, vous avez besoin de deux composants clés. L'Azure Connected Machine agent (également connu sous le nom d'agent Azure Arc) est nécessaire pour enregistrer les machines virtuelles sur site auprès d'Azure en tant que serveurs compatibles Azure Arc. Cela permet à Azure de les gérer et de déployer des extensions. Une fois l'agent Connected Machine installé, l'Azure Monitor agent peut être déployé. C'est cet agent qui collecte les journaux et les métriques des machines virtuelles et les envoie à l'espace de travail Log Analytics (utilisé par Sentinel). L'Azure Monitor agent offre des capacités de filtrage avancées pour réduire le volume de données collectées, répondant ainsi à l'exigence du filtrage. L'Azure VM Dependency agent extension for Windows et le Dependency agent sont utilisés pour la découverte des dépendances de processus et de réseau, et non pour la collecte générale d'événements avec filtrage. Le Log Analytics VM extension for Windows est l'agent hérité pour la collecte de journaux ; l'Azure Monitor agent est son successeur et offre de meilleures capacités de filtrage.