Twoja organizacja używa jednego obszaru roboczego Microsoft Sentinel. Zgodnie z wymogami zgodności, dane Windows SecurityEvent muszą być przechowywane przez 180 dni w pamięci podręcznej (hot storage), a następnie archiwizowane, natomiast dane Syslog powinny być przechowywane przez 30 dni. Aby zmniejszyć ilość danych do przetworzenia, należy zbierać tylko identyfikatory zdarzeń Windows 4624, 4625 i 4688. Jakie dwie czynności należy wykonać?

Prawidłowe odpowiedzi to skonfigurowanie zasad przechowywania i archiwizacji na poziomie tabeli oraz utworzenie reguły zbierania danych (DCR). Konfiguracja zasad przechowywania i archiwizacji na poziomie tabeli dla tabel SecurityEvent i Syslog jest niezbędna, ponieważ pozwala spełnić różne wymagania dotyczące przechowywania danych (180 dni hot storage + archiwizacja dla SecurityEvent, 30 dni dla Syslog) w jednym obszarze roboczym Log Analytics. Umożliwia to precyzyjną kontrolę nad kosztami i zgodnością. Utworzenie DCR z kolekcją i transformacją danych jest kluczowe, aby zbierać tylko określone identyfikatory zdarzeń Windows (4624, 4625, 4688). DCR pozwala na filtrowanie danych u źródła, co zmniejsza ilość przesyłanych i przetwarzanych danych, obniżając koszty i poprawiając wydajność. Pozostałe opcje są nieprawidłowe: Dzienny limit obszaru roboczego kontroluje koszty pozyskiwania, ale nie zastępuje precyzyjnych zasad przechowywania na poziomie tabeli. Tworzenie oddzielnych obszarów roboczych jest niepotrzebne i zwiększa złożoność zarządzania, ponieważ zasady przechowywania można ustawić na poziomie tabeli. Przełączanie na starsze złącze Security Events nie jest zalecane; AMA jest nowszym i bardziej elastycznym rozwiązaniem, które obsługuje DCR i przechowywanie na poziomie tabeli.