Gestisci 200 VM Windows e Linux in tre regioni. Requisiti: 1) I team di sicurezza e operazioni necessitano di accesso basato sui ruoli ai log per regione, ma tu hai bisogno della capacità di eseguire query centralizzate su tutte le VM. 2) Mantenere SecurityEvent per 180 giorni ma conservare i contatori delle prestazioni (Perf) solo per 30 giorni. 3) Raccogliere solo ID evento Windows specifici e filtrare i dati rumorosi al momento della raccolta. Quale progettazione di workspace e raccolta dati dovresti raccomandare?

Questa opzione soddisfa tutti i requisiti. I workspace per regione consentono l'RBAC regionale per i team di sicurezza e operazioni. L'Azure Monitor Agent con DCR e trasformazioni filtra gli ID evento Windows e riduce il rumore all'ingestione. La conservazione per tabella gestisce i diversi periodi di conservazione per SecurityEvent e Perf. Le query KQL cross-workspace (union) consentono l'analisi centralizzata. Le opzioni errate: Un singolo workspace globale non consente l'RBAC regionale. L'agente MMA è legacy. Un workspace per team applicativo non soddisfa i requisiti di RBAC regionale o di conservazione differenziata. Raccogliere tutti gli eventi è inefficiente. Inviare i log a Event Hubs e Stream Analytics è un approccio più complesso e costoso, e non gestisce la conservazione per tabella in Log Analytics. Usare Azure Sentinel per tutti i dati non è l'uso primario di Sentinel e la conservazione uniforme a 90 giorni non soddisfa i requisiti.