Üç bölgede 200 Windows ve Linux VM'i yönetiyorsunuz. Gereksinimler: 1) Güvenlik ve operasyon ekiplerinin bölge başına günlüklere rol tabanlı erişime ihtiyacı var, ancak tüm VM'lerde merkezi sorgular çalıştırma yeteneğine sahip olmanız gerekiyor. 2) SecurityEvent'i 180 gün saklayın, ancak performans sayaçlarını (Perf) yalnızca 30 gün tutun. 3) Yalnızca belirli Windows olay kimliklerini toplayın ve toplama sırasında gürültülü verileri filtreleyin. Hangi çalışma alanı ve veri toplama tasarımını önermelisiniz?

Doğru cevap, bölgesel RBAC gereksinimini karşılamak için bölge başına bir Log Analytics çalışma alanı dağıtır. Azure Monitor Agent (AMA) ve Veri Toplama Kuralları (DCR'ler), belirli Windows olay kimliklerini filtrelemek ve gürültülü verileri toplama sırasında azaltmak için dönüşümlerle birlikte kullanılır. Bu, yalnızca gerekli verilerin toplanmasını sağlar. Tablo başına saklama süresi yapılandırması, SecurityEvent için 180 gün ve Perf için 30 gün gibi farklı saklama gereksinimlerini karşılar. Çalışma alanları arası KQL sorguları (union operatörü ile), birden fazla çalışma alanındaki veriler üzerinde merkezi sorgular çalıştırma yeteneği sağlar. Yanlış seçenekler: Tek bir genel çalışma alanı RBAC gereksinimini karşılamaz ve eski MMA aracısı DCR'leri desteklemez. Uygulama ekibi başına çalışma alanı, bölgesel RBAC gereksinimini karşılamaz ve DCR'ler olmadan tüm olayları toplamak gürültülü veriye neden olur. Event Hubs'a doğrudan göndermek ve Stream Analytics kullanmak, Log Analytics'in yerleşik özelliklerini gereksiz yere karmaşıklaştırır ve maliyeti artırır. Azure Sentinel çalışma alanları, güvenlik odaklıdır ve 90 günlük tek tip saklama süresi, farklı saklama gereksinimlerini karşılamaz.