У вас есть 200 локальных серверов Windows и Linux, подключенных через Azure Arc. Вы хотите принимать события безопасности Windows (Windows Security Events) и Syslog в рабочую область Microsoft Sentinel с помощью Azure Monitor Agent, избегая устаревшего агента Log Analytics. Какие два действия следует предпринять?

Для сбора событий безопасности Windows и Syslog с помощью Azure Monitor Agent (AMA) необходимо выполнить два ключевых шага. Во-первых, развернуть расширение Azure Monitor Agent на всех серверах Windows и Linux, подключенных через Azure Arc. Это позволяет серверам отправлять данные в соответствии с правилами сбора данных (DCR). Во-вторых, в Microsoft Sentinel следует включить коннектор "Windows Security Events via AMA". Этот коннектор автоматически создает и назначает DCR, которое определяет, какие события безопасности Windows и Syslog должны собираться, и применяет его к соответствующим машинам с поддержкой Arc. Установка агента Log Analytics (MMA) неверна, так как требуется использовать AMA, а не устаревший агент. Создание подписки Windows Event Forwarding и использование AMA для чтения из журнала ForwardedEvents не является стандартным или наиболее эффективным методом для этой задачи. Добавление серверов в учетную запись Azure Automation не относится к механизму сбора логов для Sentinel.