У вас есть 20 локальных виртуальных машин Windows Server и подписка Azure с рабочей областью Microsoft Sentinel (Workspace1). Вам необходимо собирать и пересылать события с локальных виртуальных машин в Workspace1 и иметь возможность применять фильтры для уменьшения объема собираемых событий. Какие два компонента следует установить на каждую виртуальную машину?

Для подключения локальных виртуальных машин к Azure и управления ими как ресурсами Azure требуется установить агент Azure Connected Machine (также известный как агент Azure Arc). Это позволяет виртуальным машинам отображаться в портале Azure и получать доступ к службам Azure. Для сбора событий и журналов с этих виртуальных машин в рабочую область Microsoft Sentinel необходим агент Azure Monitor (AMA). AMA является преемником агента Log Analytics и предлагает более гибкие возможности фильтрации и настройки сбора данных, что позволяет уменьшить объем собираемых событий. Агент Azure VM Dependency agent extension for Windows и Dependency agent используются для сбора данных о зависимостях процессов и служб, а не для пересылки событий безопасности. Log Analytics VM extension for Windows — это устаревший агент Log Analytics, который не предоставляет таких гибких возможностей фильтрации, как AMA.