So exportieren Sie die Microsoft Entra ID-Anmeldeprotokolle

Öffnen Sie im Microsoft Entra Admin Center Identität → Überwachung & Zustand → Anmeldeprotokolle, stellen Sie Ihre Filter ein, und wählen Sie Herunterladen → JSON. Für größere oder geskriptete Abrufe verwenden Sie Microsoft Graph: GET /auditLogs/signIns. In jedem Fall erhalten Sie nur das, was noch gespeichert ist: 7 Tage bei Entra ID Free, 30 Tage mit P1 oder P2.

Anmeldeprotokolle zeigen, wer sich authentifiziert hat, von wo aus, in welcher App und ob MFA und bedingter Zugriff angewendet wurden. Bei identitätsbasierten Angriffen ist das der größte Teil der Geschichte. Prime Core hat 170 Erkennungsregeln für Entra ID-Anmeldedaten, die 113 MITRE ATT&CK-Techniken zugeordnet sind. Unter ihnen: Password Spraying (T1110.003), MFA-Müdigkeit (T1621) und Anmeldungen mit gestohlenen Cloud-Anmeldeinformationen (T1078.004).

Kostenlos starten

Bevor Sie beginnen

Die Aufbewahrung ist kurz. Wenn die gewünschte Aktivität älter als 7 oder 30 Tage ist, werden das Portal und Graph diese nicht haben. Der einzige Ort, wo sie noch existieren könnte, ist dort, wo Ihre Diagnostikeinstellungen Anmeldeprotokolle senden: ein Log Analytics-Arbeitsbereich, Microsoft Sentinel oder ein Speicherkonto. Siehe unser [Microsoft Sentinel Exportleitfaden] für diesen Weg.

Rollen. Reports Reader ist die Rolle mit den wenigsten Berechtigungen, die Anmeldeprotokolle lesen kann. Security Reader und Global Reader funktionieren ebenfalls.

Es gibt vier Arten von Anmeldungen. Interaktiver Benutzer, nicht-interaktiver Benutzer, Dienstprinzipal und verwaltete Identität haben jeweils ihren eigenen Tab im Portal. Tokenwiedergabe und Missbrauch von Auffrischungstoken neigen dazu, unter nicht-interaktivaufzutauchen, was oft vergessen wird zu exportieren.

Option 1: Herunterladen vom Portal

1. Gehen Sie zu Anmeldeprotokolle und wählen Sie den Tab aus (beginnen Sie mit interaktiv, dann nicht-interaktiv).
2. Set Datum und alle Filter (Benutzer, Anwendung, Status).
3. Wählen Sie Herunterladen, dann JSON.

Das Portal begrenzt, wie viele Datensätze ein einzelner Download enthält. [BEWEIS: bestätigen Sie die aktuelle Grenze.] Für große Bereiche, splitten Sie nach Tag oder verwenden Sie Graph.

Option 2: Microsoft Graph PowerShell

Dies zieht rohes API-JSON, folgt der Seitennummerierung und schreibt pro Zeile eine Anmeldung:

Connect-MgGraph -Scopes "AuditLog.Read.All"

$uri = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$filter=createdDateTime ge 2026-10-19T00:00:00Z and createdDateTime lt 2026-10-20T00:00:00Z"

do {

    $page = Invoke-MgGraphRequest -Method GET -Uri $uri -OutputType Json | ConvertFrom-Json

    $page.value | ForEach-Object { $_ | ConvertTo-Json -Depth 10 -Compress } | Add-Content signins_1019.jsonl

    $uri = $page.'@odata.nextLink'

} while ($uri)

Der v1.0-Endpunkt gibt interaktive Anmeldungen zurück. Nicht-interaktive und Dienstprinzipal-Anmeldungen benötigen den Beta-Endpunkt mit einem signInEventTypes-Filter. Anmeldungen über die API zu lesen, hängt auch von Ihrer Lizenzstufe des Mandanten ab.

Zeitstempel sind durchgehend UTC.

Worauf zu achten ist

Das Muster, bei dem es sich lohnt, zu stoppen: eine Reihe von 50126-Fehlern über viele Konten von einem IP-Bereich, dann ein Erfolg für eines davon.

Hochladen, bereinigen und überprüfen in LogTotal

1. Hochladen. Öffnen Sie logtotal.com und legen Sie die JSON-Datei ab.
2. Bereinigen. [what gets masked: UPNs, display names, IPs, device names, tenant and object IDs]. Look it over before you continue.
3. Überprüfen. 

Wenn es schief geht