Uw organisatie gebruikt één Microsoft Sentinel-werkruimte. Compliance vereist dat Windows SecurityEvent-gegevens 180 dagen in hot storage worden bewaard en daarna worden gearchiveerd, terwijl Syslog-gegevens 30 dagen moeten worden bewaard. Om de opname te verminderen, mogen alleen Windows-gebeurtenis-ID's 4624, 4625 en 4688 worden verzameld. Welke twee acties moet u ondernemen?

De organisatie heeft verschillende retentievereisten voor SecurityEvent- en Syslog-gegevens, wat tabelniveau retentie- en archiveringsbeleid noodzakelijk maakt. Dit voldoet aan de eis van 180 dagen hot storage en archivering voor SecurityEvent en 30 dagen voor Syslog. Om de opname te verminderen en alleen specifieke Windows-gebeurtenis-ID's te verzamelen, is een Data Collection Rule (DCR) met transformaties de juiste aanpak. DCR's bieden granulaire controle over welke gegevens worden opgenomen en kunnen filtering toepassen voordat gegevens worden opgeslagen, wat de kosten verlaagt. Het instellen van een dagelijkse limiet voor de werkruimte is een algemene kostenbeheersingsmaatregel, maar lost de specifieke retentie- en filtervereisten per gegevenstype niet op. Het maken van afzonderlijke werkruimten is onnodig en complexer, aangezien één werkruimte met tabelniveau-instellingen volstaat. De verouderde Security Events-connector wordt afgeraden; AMA (Azure Monitor Agent) in combinatie met DCR's is de moderne en flexibele oplossing.