Cómo Exportar Registros desde Microsoft Sentinel

Los datos de Sentinel residen en un espacio de trabajo de Log Analytics, por lo que una exportación es una consulta KQL más una forma de guardar los resultados como JSON. La más simple es la CLI de Azure: az monitor log-analytics query devuelve un objeto JSON por fila. El botón de exportación del portal produce un archivo de estilo hoja de cálculo que LogTotal no lee hoy, así que usa la CLI o PowerShell para las cargas.

Sentinel recopila de todas partes: Windows, Linux, Entra ID, Microsoft 365, firewalls, nubes. Eso lo convierte en el lugar natural para extraer una porción de investigación. Prime Core tiene 23,700 reglas de detección para Microsoft Sentinel, mapeadas a 674 técnicas de MITRE ATT&CK. A continuación se muestra cómo obtener los datos, sanitizarlos e investigarlos gratis en LogTotal.

Comienza gratis

Antes de empezar

Permisos. El rol de Lector de Log Analytics o Lector de Microsoft Sentinel en el espacio de trabajo es suficiente.

El ID del espacio de trabajo. La CLI requiere el GUID del espacio de trabajo, de la página de vista general del espacio de trabajo, no su nombre.

Conoce tus tablas. Las que más importan: SecurityEvent (Windows), Syslog (Linux), SigninLogs y AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF de firewalls y otros dispositivos), AzureActivity, además de cualquier tabla _CL personalizada.

Niveles de retención. Los datos en retención interactiva se pueden consultar directamente. Los datos que han pasado a retención a largo plazo no se pueden: primero necesitas un trabajo de búsqueda o una restauración. Algunos planes de tablas (Básico, Auxiliar) también limitan lo que KQL puede hacer.

Donde escribes KQL. Dependiendo de cómo esté configurado tu arrendatario, eso es Caza avanzada en el portal de Microsoft Defender o Registros en el portal de Azure. Las consultas son las mismas.

Los comandos siguen la documentación de Microsoft, revisados en octubre de 2026.

Paso 1: Escribe la consulta

Limítalo a eventos. No uses ‘summarize’ si quieres que regresen los registros. Para la actividad SSH en Linux:

Syslog
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer == "web-03"
| where ProcessName in ("sshd", "sshd-session")

Para inicios de sesión en Windows y cambios de cuenta en un controlador de dominio:

SecurityEvent
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer startswith "DC-01"

Ejecuta primero en el portal y verifica el conteo de filas.

Paso 2: Exportar como JSON

CLI de Azure:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

La primera ejecución puede pedir que instales la extensión de log-analytics. Di que sí.

PowerShell (Módulo Az):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

Los resultados de las consultas están limitados en filas y tamaño. Para tablas concurridas, divide la ventana en horas y ejecuta la exportación por cada segmento.

Paso 3: Cargar, sanitizar y revisar en LogTotal

1. Cargar. Abrir logtotal.com y arrastrar el archivo .jsonl.
2. Sanitizar. 
3. Revisar. 

Cuando algo sale mal