Vous devez intégrer des journaux de sécurité dans Microsoft Sentinel à partir de 12 contrôleurs de domaine Windows Server sur site et de plusieurs pare-feu Linux. Tous les serveurs sont compatibles avec Azure Arc, et vous devez éviter l'agent Log Analytics hérité. Vous devez collecter les événements de sécurité Windows (y compris 4688) des contrôleurs de domaine et les événements au format CEF des pare-feu. Quelles sont les deux actions à entreprendre ?

La première action correcte consiste à utiliser le connecteur de données Événements de sécurité Windows via AMA (Agent Azure Monitor) pour les contrôleurs de domaine. L'AMA est la solution moderne et remplace l'agent Log Analytics hérité. L'attribution de la règle de collecte de données aux contrôleurs de domaine compatibles Arc garantit la collecte des événements de sécurité Windows, y compris l'ID 4688, comme requis. La deuxième action correcte est de déployer l'AMA sur un transitaire de journaux Linux compatible Arc et d'activer le connecteur CEF via AMA. Les pare-feu peuvent alors être configurés pour envoyer leurs journaux CEF via Syslog à ce transitaire. Cette approche centralise la collecte des journaux CEF sans utiliser l'agent hérité. Les options incorrectes impliquent l'utilisation de l'agent Log Analytics (MMA/OMS) hérité, ce qui est explicitement à éviter. La diffusion des journaux vers Azure Event Hubs n'est pas la méthode recommandée pour les journaux CEF directement dans Sentinel avec un connecteur de données dédié.