Come Esportare i Log da Microsoft Sentinel

I dati di Sentinel vivono in un Log Analytics workspace, quindi un’esportazione è una query KQL più un modo per salvare i risultati come JSON. Il più semplice è l’Azure CLI: az monitor log-analytics query restituisce un oggetto JSON per riga. Il pulsante di esportazione del portale produce un file in stile foglio di calcolo che LogTotal non legge oggi, quindi usa il CLI o PowerShell per i caricamenti.

Sentinel raccoglie da ovunque: Windows, Linux, Entra ID, Microsoft 365, firewall, cloud. Questo lo rende il luogo naturale da cui estrarre un frammento di indagine. Prime Core ha 23.700 regole di rilevamento per Microsoft Sentinel, mappate su 674 tecniche MITRE ATT&CK. Di seguito come estrarre i dati, sanificarli e indagarli gratuitamente in LogTotal.

Inizia gratis

Prima di iniziare

Permessi. Log Analytics Reader o Microsoft Sentinel Reader sul workspace è sufficiente.

L’ID del workspace. Il CLI richiede il GUID del workspace, dalla pagina panoramica del workspace, non il suo nome.

Conosci i tuoi tavoli. Quelli che contano di più: SecurityEvent (Windows), Syslog (Linux), SigninLogs e AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF da firewall e altri dispositivi), AzureActivity, oltre a eventuali tavoli personalizzati _CL.

Livelli di retention. I dati in retention interattiva possono essere interrogati direttamente. I dati che sono passati in retention a lungo termine non possono: è necessario prima un lavoro di ricerca o un ripristino. Alcuni piani di tabella (Basic, Auxiliary) limitano anche ciò che KQL può fare.

Dove scrivi KQL. A seconda di come è impostato il tuo tenant, cioè hunting avanzato nel portale di Microsoft Defender o Log nel portale di Azure. Le query sono le stesse.

I comandi seguono la documentazione di Microsoft, controllata nell’ottobre 2026.

Passo 1: Scrivi la query

Mantienila per gli eventi. Nessun riassunto se vuoi i log indietro. Per l’attività SSH su Linux:

Syslog
| dove TimeGenerated è tra (datetime(2026-10-19) .. datetime(2026-10-20))
| dove Computer == "web-03"
| dove ProcessName in ("sshd", "sshd-session")

Per gli accessi e i cambiamenti di account su un domain controller di Windows:

SecurityEvent
| dove TimeGenerated è tra (datetime(2026-10-19) .. datetime(2026-10-20))
| dove Computer inizia con "DC-01"

Eseguila prima nel portale e controlla il conteggio delle righe.

Passo 2: Esporta come JSON

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

La prima esecuzione potrebbe chiedere di installare l’estensione log-analytics. Dì di sì.

PowerShell (Modulo Az):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

I risultati della query sono limitati in righe e dimensione. Per tabelle attive, suddividi la finestra in ore ed esegui l’esportazione una volta per sezione.

Passo 3: Carica, sanifica e rivedi in LogTotal

1. Carica. Apri logtotal.com e trascina il file .jsonl.
2. Sanifica. 
3. Rivedi. 

Quando va storto