12 şirket içi Windows Server etki alanı denetleyicisinden ve birkaç Linux güvenlik duvarından Microsoft Sentinel'e güvenlik günlüklerini almanız gerekiyor. Tüm sunucular Azure Arc özelliklidir ve eski Log Analytics aracısından kaçınmanız gerekir. Etki alanı denetleyicilerinden Windows Güvenlik Olaylarını (4688 dahil) ve güvenlik duvarlarından CEF biçimli olayları toplamanız gerekir. Hangi iki eylemi gerçekleştirmelisiniz?

Windows Güvenlik Olayları için, Azure Monitör Aracısı (AMA) ve Veri Toplama Kuralları (DCR'ler) eski Log Analytics aracısının yerini almıştır. Azure Arc özellikli etki alanı denetleyicileri için Windows Security Events via AMA veri bağlayıcısını etkinleştirmek ve 4688 gibi belirli olay kimliklerini toplayan bir DCR atamak, gereksinimi karşılar. Güvenlik duvarlarından CEF biçimli olaylar için, doğrudan Sentinel'e göndermek yerine bir günlük iletici kullanmak yaygın bir uygulamadır. Arc özellikli bir Linux sunucusuna AMA dağıtmak ve CEF via AMA bağlayıcısını etkinleştirmek, güvenlik duvarlarının CEF günlüklerini Syslog üzerinden bu ileticiye göndermesine olanak tanır, bu da ileticinin bunları Sentinel'e iletmesini sağlar. Diğer seçenekler ya eski aracıları kullanır (MMA/OMS), bu da soruda kaçınılması istenen bir durumdur, ya da dolaylı ve daha karmaşık yöntemlerdir (Event Hubs).