У вас есть рабочая область Microsoft Sentinel, собирающая логи со 100 виртуальных машин Windows Server. Какую таблицу следует запросить, чтобы найти события неудачных входов (logon) в собранных данных?

Правильный ответ — SecurityEvent. Эта таблица в рабочей области Log Analytics (используемой Microsoft Sentinel) содержит данные журнала безопасности Windows, включая события входа в систему, как успешные, так и неудачные. События неудачного входа обычно имеют EventID 4625. SigninLogs собирает данные о входах в Azure Active Directory, а не о входах в локальные виртуальные машины Windows Server. SecurityIncident содержит данные об инцидентах, обнаруженных Sentinel, а не необработанные события безопасности. AuditLogs содержит журналы аудита Azure Active Directory и других служб Azure, но не журналы безопасности с виртуальных машин Windows Server.