Suivre Les données Sentinel résident dans un espace de travail Log Analytics, donc une exportation est une requête KQL plus un moyen d’enregistrer les résultats au format JSON. Le plus simple est l’Azure CLI : az monitor log-analytics query renvoie un objet JSON par ligne. Le bouton d’exportation du portail produit un fichier de type tableur que LogTotal ne lit pas aujourd’hui, donc utilisez le CLI ou PowerShell pour les téléchargements.
Sentinel collecte de partout : Windows, Linux, Entra ID, Microsoft 365, pare-feux, nuages. Cela en fait l’endroit idéal pour extraire une tranche d’enquête. Prime Core dispose de 23 700 règles de détection pour Microsoft Sentinel, mappées à 674 techniques MITRE ATT&CK. Voici comment extraire les données, les assainir et les enquêter gratuitement dans LogTotal.
Avant de commencer
Permissions. Lecteur Log Analytics ou Lecteur Microsoft Sentinel sur l’espace de travail est suffisant.
L’ID de l’espace de travail. Le CLI nécessite le GUID de l’espace de travail, sur la page de vue d’ensemble de l’espace de travail, et non son nom.
Connaissez vos tables. Celles qui comptent le plus : SecurityEvent (Windows), Syslog (Linux), SigninLogs et AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF des pare-feux et autres appareils), AzureActivity, ainsi que toutes les tables _CL personnalisées.
Niveaux de rétention. Les données en rétention interactive peuvent être interrogées directement. Les données qui sont tombées dans une rétention à long terme ne le peuvent pas : vous avez besoin d’une tâche de recherche ou d’une restauration d’abord. Certains plans de table (Basique, Auxiliaire) limitent également ce que KQL peut faire.
Où vous écrivez KQL. Selon la configuration de votre locataire, c’est Chasse avancée dans le portail Microsoft Defender ou Journaux dans le portail Azure. Les requêtes sont les mêmes.
Les commandes suivent la documentation Microsoft, vérifiée en octobre 2026.
Étape 1 : Rédigez la requête
Limitez-vous aux événements. Pas de synthèse si vous souhaitez récupérer les journaux. Pour l’activité SSH Linux :
Syslog
| où TimeGenerated entre (datetime(2026-10-19) .. datetime(2026-10-20))
| où Computer == "web-03"
| où ProcessName dans ("sshd", "sshd-session")
Pour les connexions Windows et les modifications de compte sur un contrôleur de domaine :
SecurityEvent
| où TimeGenerated entre (datetime(2026-10-19) .. datetime(2026-10-20))
| où Computer commence par "DC-01"
Exécutez-le d’abord sur le portail et vérifiez le nombre de lignes.
Étape 2 : Exporter au format JSON
Azure CLI :
az login
az monitor log-analytics query
--workspace <workspace-guid>
--analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'"
--output json > sentinel_web03_1019.json
jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl
La première exécution peut demander d’installer l’extension log-analytics. Dites oui.
PowerShell (Module Az) :
Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8
Les résultats des requêtes sont plafonnés en lignes et taille. Pour les tables chargées, divisez la fenêtre en heures et exécutez l’exportation une fois par tranche.
Étape 3 : Téléchargez, assainissez et révisez dans LogTotal
- Télécharger. Ouvrir logtotal.com et déposez le fichier .jsonl.
- Assainir.
- Réviser.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Le CLI demande une extension | log-analytics n’est pas installé | Acceptez, ou az extension add –name log-analytics |
| Espace de travail introuvable | Nom utilisé au lieu du GUID | Utilisez l’ID de l’espace de travail depuis sa page de vue d’ensemble |
| Moins de lignes que prévu | Limites de résultats | Divisez la fenêtre de temps |
| Les anciennes données ne renvoient rien | Elles sont en rétention à long terme | Exécutez d’abord une tâche de recherche ou une restauration |
| Interdit | Rôle de lecteur manquant sur l’espace de travail | Demandez Log Analytics Reader |
FAQ
Est-ce que j’obtiens des événements Windows bruts ?
Vous obtenez les lignes SecurityEvent analysées, avec les données d’événements d’origine dans la colonne EventData. Pas un fichier EVTX. Pour EVTX, exportez depuis l’hôte.
Qu’en est-il des données Defender XDR dans Sentinel ?
Si vous utilisez le portail Defender unifié, la chasse avancée peut interroger les tables Defender et Sentinel ensemble.
