Azure Arc를 통해 연결된 온프레미스 Windows 및 Linux 서버 200대가 있습니다. 레거시 Log Analytics 에이전트를 사용하지 않고 Azure Monitor 에이전트를 사용하여 Windows 보안 이벤트 및 Syslog를 Microsoft Sentinel 작업 영역으로 수집하려고 합니다. 어떤 두 가지 조치를 취해야 합니까?

Azure Monitor 에이전트(AMA)를 사용하여 Windows 보안 이벤트 및 Syslog를 수집하려면 두 가지 주요 조치가 필요합니다. 첫째, Azure Arc 지원 서버에 Azure Monitor Agent 확장을 배포해야 합니다. 이 확장은 데이터 수집 규칙(DCR)에 따라 데이터를 보낼 수 있는 에이전트 자체입니다. 둘째, Microsoft Sentinel에서 AMA 커넥터를 통해 Windows 보안 이벤트를 활성화해야 합니다. 이 과정에서 필요한 이벤트 세트를 수집하도록 DCR이 자동으로 생성되고 Arc 지원 머신으로 범위가 지정되어 할당됩니다. Log Analytics 에이전트(MMA)는 레거시 에이전트이므로 이 시나리오에서는 사용하지 않습니다. Windows 이벤트 전달 구독은 AMA가 기본적으로 ForwardedEvents 로그에서 읽도록 하는 것이 아니라 특정 보안 이벤트를 수집하는 데 중점을 둡니다. Azure Automation 계정은 로그 전달과 직접적인 관련이 없습니다.