Вы управляете тремя рабочими областями Microsoft Sentinel в разных регионах. Вам нужна единая панель мониторинга SOC, которая показывает количество инцидентов по степени серьезности и тенденции сбоев входа в систему для всех рабочих областей, с селектором диапазона времени и рабочей области. Вы должны предоставить аналитикам доступ только для чтения без предоставления им прав на запись в рабочие области. Какие два действия вы должны предпринять?

Создание книги Azure Monitor с кросс-рабочими запросами KQL (используя workspace('WorkspaceName') и union) позволяет агрегировать данные из нескольких рабочих областей Sentinel в едином представлении. Параметры для времени и рабочей области обеспечивают гибкость для аналитиков. Назначение роли Log Analytics Reader для каждой рабочей области и роли Reader для ресурса книги гарантирует, что аналитики SOC имеют необходимый доступ для просмотра данных и выполнения запросов, но не могут изменять конфигурации рабочих областей. Закрепление панели Security Operations из одной рабочей области не объединит данные из всех рабочих областей. Экспорт в Power BI является обходным путем и не использует встроенные возможности Sentinel для кросс-рабочих областей. Перенос всех рабочих областей в одну не всегда практичен или желателен из-за требований к суверенитету данных или производительности.