U beheert drie Microsoft Sentinel-werkruimten in verschillende regio's. U hebt één SOC-dashboard nodig dat incidentaantallen per ernst en trends in aanmeldingsfouten in alle werkruimten toont, met een tijdsbereik- en werkruimteselector, en u moet analisten alleen-lezen toegang verlenen zonder hen schrijfrechten te geven voor de werkruimten. Welke twee acties moet u ondernemen?

Een Azure Monitor-werkmap biedt de flexibiliteit om aangepaste dashboards te maken met behulp van KQL, inclusief cross-workspace queries met workspace('WorkspaceName').TableName en union om gegevens uit meerdere Sentinel-werkruimten te aggregeren. Parameters kunnen worden toegevoegd voor tijd en werkruimteselectie. Door de werkmap in een gedeelde resourcegroep te plaatsen, kan deze centraal worden beheerd. De rol Log Analytics Reader op elke werkruimte en Reader op de werkmapresource geeft analisten de benodigde alleen-lezen toegang om de gegevens te bekijken en queries uit te voeren zonder schrijfrechten. Het pinnen van de Security Operations-blade aan een Azure Dashboard consolideert geen weergaven van meerdere werkruimten. Het exporteren naar Power BI is een optie, maar een werkmap is een native Azure-oplossing die beter geïntegreerd is voor dit doel. Het migreren van werkruimten naar één werkruimte is vaak niet haalbaar vanwege regionale vereisten of gegevenssoevereiniteit en is complexer dan cross-workspace queries.