Masz 200 lokalnych serwerów Windows i Linux połączonych za pośrednictwem Azure Arc. Chcesz pozyskiwać zdarzenia zabezpieczeń systemu Windows (Windows Security Events) i Syslog do obszaru roboczego Microsoft Sentinel za pomocą agenta Azure Monitor, unikając starszego agenta Log Analytics. Jakie dwie czynności należy wykonać?

Aby pozyskiwać zdarzenia zabezpieczeń systemu Windows i Syslog za pomocą agenta Azure Monitor (AMA) do Microsoft Sentinel, należy wykonać dwa kluczowe kroki. Po pierwsze, w Microsoft Sentinel należy włączyć złącze Windows Security Events via AMA. To złącze umożliwia skonfigurowanie zbierania zdarzeń i automatycznie tworzy oraz przypisuje regułę zbierania danych (DCR) do maszyn obsługujących Azure Arc, określając, które zdarzenia mają być zbierane. Po drugie, na serwerach Windows i Linux połączonych przez Azure Arc należy wdrożyć rozszerzenie Azure Monitor Agent (AzureMonitorWindowsAgent/AzureMonitorLinuxAgent). Ten agent jest odpowiedzialny za faktyczne zbieranie danych zgodnie z przypisaną DCR i przesyłanie ich do obszaru roboczego Sentinel. Instalowanie agenta Log Analytics (MMA) jest nieprawidłowe, ponieważ pytanie wyraźnie wskazuje na unikanie starszego agenta Log Analytics na rzecz AMA. Tworzenie subskrypcji Windows Event Forwarding nie jest bezpośrednio związane z konfiguracją AMA do zbierania zdarzeń bezpieczeństwa i Syslog. Dodawanie serwerów do konta Azure Automation nie jest metodą pozyskiwania dzienników do Sentinel za pomocą AMA.