La tua organizzazione utilizza un singolo workspace di Microsoft Sentinel. La conformità richiede che i dati di Windows SecurityEvent siano conservati per 180 giorni in hot storage e poi archiviati, mentre i dati Syslog dovrebbero essere conservati per 30 giorni. Per ridurre l'ingestion, dovrebbero essere raccolti solo gli ID evento Windows 4624, 4625 e 4688. Quali due azioni dovresti intraprendere?

La configurazione della retention a livello di tabella e delle policy di archiviazione sulle tabelle SecurityEvent e Syslog consente di soddisfare i requisiti specifici di conservazione e archiviazione per ciascun tipo di dato, come richiesto dalla conformità. Le DCR (Data Collection Rule) con raccolta e trasformazione dei dati permettono di filtrare gli eventi in ingresso, assicurando che vengano ingeriti solo gli ID evento Windows 4624, 4625 e 4688, riducendo così i costi di ingestion. Abilitare un limite giornaliero controlla i costi ma non soddisfa i requisiti di retention. Creare workspace separati non è necessario, poiché la retention a livello di tabella gestisce le diverse esigenze. Il connettore legacy Security Events non offre la flessibilità e le funzionalità di filtraggio delle DCR.