서로 다른 리전에 세 개의 Microsoft Sentinel 작업 영역을 운영하고 있습니다. 모든 작업 영역에서 심각도별 인시던트 수와 로그인 실패 추세를 보여주는 단일 SOC 대시보드가 필요하며, 시간 범위 및 작업 영역 선택기가 있어야 합니다. 또한 분석가에게 작업 영역에 대한 쓰기 권한을 부여하지 않고 읽기 전용 액세스 권한을 부여해야 합니다. 어떤 두 가지 조치를 취해야 합니까?

여러 리전의 Sentinel 작업 영역에서 데이터를 통합하고 읽기 전용 액세스를 제공하려면 Azure Monitor 통합 문서를 사용하는 것이 가장 좋습니다. 통합 문서는 여러 작업 영역의 데이터를 단일 대시보드에 표시할 수 있으며, 시간 및 작업 영역 선택기와 같은 매개변수를 지원합니다. workspace('WorkspaceName').SecurityIncident 및 union 연산자를 사용하는 교차 작업 영역 KQL 쿼리를 작성하여 여러 작업 영역의 데이터를 집계할 수 있습니다. SOC 그룹에 Log Analytics Reader 역할을 할당하면 작업 영역에 대한 읽기 전용 액세스가 가능하며, 통합 문서 리소스에 대한 Reader 역할을 할당하면 대시보드를 볼 수 있습니다. 다른 옵션들은 요구 사항을 완전히 충족하지 못합니다. 예를 들어, Azure Dashboard에 고정하는 것은 교차 작업 영역 보기를 통합하지 못하고, Power BI는 실시간 데이터 및 통합 문서의 유연성을 제공하지 못하며, 작업 영역 마이그레이션은 불필요하고 복잡합니다.