Je moet beveiligingslogs van 12 on-premises Windows Server-domeincontrollers en verschillende Linux-firewalls in Microsoft Sentinel opnemen. Alle servers zijn Azure Arc-enabled en je moet de verouderde Log Analytics-agent vermijden. Je moet Windows Security Events (inclusief 4688) van de domeincontrollers en CEF-geformatteerde events van de firewalls verzamelen. Welke twee acties moet je ondernemen?

De eerste correcte actie is om de Windows Security Events via AMA-gegevensconnector in Sentinel in te schakelen en de bijbehorende gegevensverzamelingsregel toe te wijzen aan de Arc-enabled domeincontrollers. Dit is de moderne methode om Windows-beveiligingsgebeurtenissen te verzamelen met de Azure Monitor Agent (AMA), die de Log Analytics-agent vervangt en specifiek event-ID's zoals 4688 kan verzamelen. De tweede correcte actie is het implementeren van de Azure Monitor Agent op een Arc-enabled Linux log forwarder en het inschakelen van de Common Event Format (CEF) via AMA-connector. De firewalls kunnen dan CEF via Syslog naar deze forwarder sturen, waardoor Sentinel de CEF-geformatteerde events kan opnemen. De andere opties zijn incorrect omdat ze ofwel de verouderde Log Analytics-agent gebruiken, die vermeden moet worden, of een omweg via Event Hubs die niet de meest directe of efficiënte methode is voor CEF-logs.