Hai 20 macchine virtuali Windows Server on-premises e una sottoscrizione Azure con un'area di lavoro Microsoft Sentinel (Workspace1). Devi raccogliere e inoltrare gli eventi dalle VM on-prem a Workspace1 ed essere in grado di applicare filtri per ridurre il volume degli eventi raccolti. Quali due componenti dovresti installare su ogni VM?

Per raccogliere e filtrare gli eventi dalle VM on-prem e inviarli a Microsoft Sentinel, sono necessari due componenti chiave. L'Azure Connected Machine agent (anche noto come Azure Arc agent) è fondamentale perché registra le VM on-prem con Azure Arc, rendendole gestibili come risorse Azure. Questo è un prerequisito per l'installazione di altre estensioni Azure. L'Azure Monitor agent (AMA) è il componente responsabile della raccolta degli eventi e dei log dalle VM. AMA offre funzionalità di filtro avanzate, consentendo di specificare quali eventi inoltrare a Workspace1, riducendo così il volume dei dati e i costi. Le altre opzioni non sono corrette: L'Azure VM Dependency agent extension for Windows e il Dependency agent sono usati per la funzionalità Service Map di Azure Monitor, non per la raccolta di eventi di sicurezza. La Log Analytics VM extension for Windows è l'agente di monitoraggio legacy. Sebbene possa raccogliere log, non offre le stesse capacità di filtro granulare e la flessibilità dell'Azure Monitor agent, che è la soluzione preferita e più moderna.