Je hebt 200 on-premises Windows- en Linux-servers die zijn verbonden via Azure Arc. Je wilt Windows Security Events en Syslog opnemen in een Microsoft Sentinel-workspace met behulp van de Azure Monitor Agent, waarbij je de verouderde Log Analytics-agent vermijdt. Welke twee acties moet je ondernemen?

Om Windows Security Events en Syslog te verzamelen met de Azure Monitor Agent (AMA) en de Log Analytics-agent (MMA) te vermijden, zijn twee acties cruciaal. Ten eerste moet u de Windows Security Events via AMA-connector inschakelen in Microsoft Sentinel en deze beperken tot de Arc-enabled machines. Dit zorgt ervoor dat Sentinel automatisch een Data Collection Rule (DCR) aanmaakt en toewijst die de benodigde gebeurtenissen verzamelt. Ten tweede moet de Azure Monitor Agent-extensie (AzureMonitorWindowsAgent/AzureMonitorLinuxAgent) op alle Arc-enabled servers worden geïmplementeerd. Deze agent is verantwoordelijk voor het daadwerkelijk verzamelen van de gegevens volgens de instructies van de DCR en het verzenden ervan naar de Sentinel-workspace. De optie om de Log Analytics-agent te installeren is incorrect, omdat de vraag expliciet vermeldt dat de verouderde Log Analytics-agent vermeden moet worden. Het maken van een Windows Event Forwarding-abonnement is niet de primaire methode voor het verzamelen van beveiligingsgebeurtenissen met AMA; AMA kan direct beveiligingslogboeken verzamelen. Het toevoegen van servers aan een Azure Automation-account is niet relevant voor het verzamelen van beveiligingslogboeken met AMA voor Sentinel.