Si dispone di 200 server Windows e Linux on-premise connessi tramite Azure Arc. Si desidera acquisire gli eventi di sicurezza di Windows e Syslog in un'area di lavoro di Microsoft Sentinel utilizzando l'agente di Monitoraggio di Azure, evitando l'agente di Log Analytics legacy. Quali due azioni è necessario intraprendere?

Per acquisire eventi di sicurezza e Syslog tramite AMA, è necessario abilitare il connettore Windows Security Events in Microsoft Sentinel, specificando l'ambito alle macchine abilitate per Arc. Questo processo crea e assegna automaticamente una regola di raccolta dati (DCR) che definisce quali eventi raccogliere. Successivamente, è fondamentale distribuire l'estensione dell'agente di Monitoraggio di Azure (AzureMonitorWindowsAgent/AzureMonitorLinuxAgent) ai server abilitati per Arc. Questo agente è responsabile della raccolta dei dati dai server e dell'invio a Sentinel, in conformità con la DCR creata. L'installazione dell'agente di Log Analytics (MMA) è errata perché la richiesta specifica di evitare l'agente legacy. La creazione di una sottoscrizione di Windows Event Forwarding non è il metodo primario per la raccolta di eventi di sicurezza tramite AMA, che si basa su DCR. L'aggiunta dei server a un account di Automazione di Azure non è il meccanismo corretto per l'inoltro di log a Sentinel.