Microsoft Sentinelからログをエクスポートする方法

Sentinel データは Log Analytics ワークスペースに存在するため、エクスポートは KQL クエリと結果を JSON として保存する方法です。最もシンプルなのは Azure CLI です。az monitor log-analytics query は、1 行につき 1 つの JSON オブジェクトを返します。ポータルのエクスポートボタンは、LogTotal では今日読み取らないスプレッドシートスタイルのファイルを生成するため、アップロードには CLI または PowerShell を使用してください。

Sentinel はあらゆる場所から収集します：Windows、Linux、Entra ID、Microsoft 365、ファイアウォール、クラウド。それにより、調査スライスを引き出すための自然な場所です。Prime Core には Microsoft Sentinel 向けの 23,700 の検出ルールがあり、674 の MITRE ATT&CK 技術にマッピングされています。以下に、データを取り出し、サニタイズし、無料で LogTotal で調査する方法を示します。

無料で始める

始める前に

権限。 ワークスペース上で Log Analytics リーダーまたは Microsoft Sentinel リーダーがあれば十分です。

ワークスペース ID。 CLI では、ワークスペース名ではなく、ワークスペースの概要ページからワークスペース GUID が必要です。

テーブルを知る。 最も重要なもの: SecurityEvent (Windows), Syslog (Linux), SigninLogs および AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (ファイアウォールおよび他のアプライアンスからの CEF), AzureActivity、およびカスタム _CL テーブル。

保持層。 対話型保持のデータは直接クエリできます。長期保持に移行したデータはできません。検索ジョブまたは最初にリストアが必要です。一部のテーブルプラン（基本、補助）も KQL の機能を制限します。

KQL を記述する場所。 テナントの設定によりますが、それは Microsoft Defender ポータルの高度なハンティング または Azure ポータルのログ です。クエリは同じです。

コマンドは 2026 年 10 月に確認された Microsoft のドキュメントに従っています。

ステップ 1: クエリを書く

イベントに絞ってください。ログを戻したい場合は summarize を使用しないでください。Linux SSH アクティビティの場合:

Syslog
| TimeGenerated が (datetime(2026-10-19) .. datetime(2026-10-20)) の間の場合
| Computer が "web-03" の場合
| ProcessName が ("sshd", "sshd-session") に含まれる場合

ドメインコントローラー上の Windows ログオンとアカウント変更について:

SecurityEvent
| TimeGenerated が (datetime(2026-10-19) .. datetime(2026-10-20)) の間の場合
| Computer が "DC-01" で始まる場合

最初にポータルで実行し、行数を確認します。

ステップ 2: JSON としてエクスポート

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

最初の実行では、log-analytics 拡張機能のインストールを求められる場合があります。「はい」と答えてください。

PowerShell (Az モジュール):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

クエリ結果は行数とサイズに制限されます。忙しいテーブルの場合、時間枠を時間単位で分割し、スライスごとにエクスポートを一度ずつ実行してください。

ステップ 3: LogTotal にアップロードし、サニタイズおよびレビュー

1. アップロード。 開く logtotal.com そして .jsonl ファイルをドロップします。
2. サニタイズ。 
3. レビュー。 

うまくいかない場合