當使用 Azure Monitor Agent 和資料收集規則來收集 event ID 為 1001 的 Windows System 事件日誌項目時，資料來源應使用哪種查詢類型？

正確答案是 XPath。當您使用 Azure Monitor Agent (AMA) 和資料收集規則 (DCR) 從 Windows 事件日誌收集特定事件時，您需要使用 XPath 查詢來篩選和選取所需的事件。XPath 是一種用於選取 XML 文件中節點的語言，而 Windows 事件日誌在內部是以 XML 結構儲存的。因此，XPath 允許您精確地指定要收集的事件 ID、來源或其他屬性。 SQL 是用於關聯式資料庫的查詢語言，不適用於 Windows 事件日誌。KQL (Kusto Query Language) 是 Azure Data Explorer 和 Log Analytics 中用於查詢資料的語言，但它是在資料收集到 Log Analytics 工作區之後才使用的，而不是在資料收集規則中定義來源時使用。