Vous exploitez trois espaces de travail Microsoft Sentinel dans différentes régions. Vous avez besoin d'un tableau de bord SOC unique qui affiche le nombre d'incidents par gravité et les tendances des échecs de connexion sur tous les espaces de travail, avec une plage horaire et un sélecteur d'espace de travail, et vous devez accorder aux analystes un accès en lecture seule sans leur donner de permissions d'écriture sur les espaces de travail. Quelles sont les deux actions à entreprendre ?

Pour un tableau de bord SOC unique et consolidé, la création d'un classeur Azure Monitor est la solution idéale. Il permet d'écrire des requêtes KQL inter-espaces de travail en utilisant workspace('WorkspaceName').TableName et l'opérateur union pour agréger les données de plusieurs espaces de travail, répondant ainsi aux exigences de visualisation des incidents et des échecs de connexion. Les paramètres de temps et d'espace de travail offrent la flexibilité nécessaire. Pour accorder un accès en lecture seule aux analystes, il est essentiel d'attribuer le rôle Lecteur Log Analytics sur chaque espace de travail Sentinel. Ce rôle permet l'exécution des requêtes sans accorder de permissions d'écriture. De plus, le rôle Lecteur sur la ressource du classeur est nécessaire pour qu'ils puissent visualiser le tableau de bord. Les autres options sont incorrectes car : Épingler le panneau Opérations de sécurité ne permet pas une vue consolidée de plusieurs espaces de travail. Exporter vers Power BI est une solution plus complexe et moins intégrée pour ce cas d'usage. Migrer les espaces de travail est une opération lourde et souvent inutile, car les classeurs gèrent déjà le scénario inter-espaces de travail.