12개의 온프레미스 Windows Server 도메인 컨트롤러와 여러 Linux 방화벽에서 Microsoft Sentinel로 보안 로그를 온보딩해야 합니다. 모든 서버는 Azure Arc가 활성화되어 있으며, 레거시 Log Analytics 에이전트는 피해야 합니다. 도메인 컨트롤러에서 Windows 보안 이벤트(4688 포함)를 수집하고 방화벽에서 CEF 형식 이벤트를 수집해야 합니다. 어떤 두 가지 조치를 취해야 합니까?

Windows 도메인 컨트롤러의 보안 이벤트를 수집하려면 레거시 Log Analytics 에이전트를 피해야 하므로 AMA(Azure Monitor Agent)를 사용하는 'Windows Security Events via AMA' 데이터 커넥터를 활성화해야 합니다. 이 커넥터는 DCR(데이터 수집 규칙)을 사용하여 특정 이벤트 ID(예: 4688)를 지정하고 Arc 지원 도메인 컨트롤러에 할당하여 이벤트를 수집합니다. Linux 방화벽에서 CEF(Common Event Format) 이벤트를 수집하려면 Arc 지원 Linux 로그 전달자에 Azure Monitor Agent를 배포하고 'Common Event Format (CEF) via AMA' 커넥터를 활성화해야 합니다. 방화벽은 Syslog를 통해 이 전달자로 CEF를 보내도록 구성됩니다. 다른 옵션은 레거시 에이전트를 사용하거나, 요구 사항을 충족하지 않거나, Sentinel로 직접 통합되지 않습니다.