При использовании Azure Monitor Agent и правила сбора данных для сбора только записей журнала событий Windows System с ID события 1001, какой тип запроса следует использовать для источника данных?

Правила сбора данных (DCR) в Azure Monitor Agent используют XPath для фильтрации событий журнала Windows. XPath (XML Path Language) — это язык запросов для выбора узлов из документа XML, а журналы событий Windows хранятся в формате XML. Поэтому для указания конкретных событий, таких как события с ID 1001 из журнала System, используется XPath. SQL и KQL (Kusto Query Language) используются для запросов к уже собранным данным в Log Analytics, а не для фильтрации на этапе сбора.