Prepará SC-200 con una referencia que recuerda tu progreso.

Los eventos de Windows y Sysmon aportan autenticación, privilegios, procesos, red, registro, archivos y sistema necesarios para detecciones e investigaciones.

Preferí Eventos de seguridad mediante AMA: usa DCR reutilizables, mejora rendimiento y admite filtrado. Máquinas fuera de Azure requieren Arc. El agente heredado se retiró el 31 de agosto de 2024. Para WEF centralizado, implementá Windows Forwarded Events y recopilá desde un Windows Event Collector.

Creá una DCR, elegí VM o servidores Arc y recopilación Todos, Comunes, Mínimos o Personalizada. Personalizada acepta XPath 1.0; la lección permite 20 expresiones por cuadro y 100 cuadros.

$XPath = '*[System[EventID=1035]]'
Get-WinEvent -LogName 'Application' -FilterXPath $XPath

Probá XPath localmente y filtrá en origen preservando eventos requeridos.

Se consultan en SecurityEvent. Tratá lo heredado como excepción y migrá a AMA.

Sysmon registra procesos, conexiones, cambios de archivos y más. Instalalo por separado y usá WEF y una DCR AMA con ruta personalizada Microsoft-Windows-Sysmon/Operational!*. Windows Forwarded Events instala AMA cuando corresponde. Microsoft recomienda normalización ASIM.

Revisá AMA frente a heredado, Arc, alcance DCR, conjuntos, XPath, arquitectura WEC, canal Sysmon y ASIM.

Estandarizá AMA y DCR, usá Arc fuera de Azure, filtrá deliberadamente y validá que los eventos necesarios lleguen a la tabla esperada.