Wie man Protokolle aus Microsoft Sentinel exportiert

Sentinel-Daten befinden sich in einem Log Analytics-Arbeitsbereich, daher ist ein Export eine KQL-Abfrage plus eine Möglichkeit, die Ergebnisse als JSON zu speichern. Die einfachste ist die Azure CLI: az monitor log-analytics query gibt ein JSON-Objekt pro Zeile zurück. Die Export-Schaltfläche des Portals erzeugt eine tabellenartige Datei, die LogTotal heute nicht lesen kann, daher sollten Sie die CLI oder PowerShell für Uploads verwenden.

Sentinel sammelt von überall: Windows, Linux, Entra ID, Microsoft 365, Firewalls, Clouds. Das macht es zum natürlichen Ort, um einen Untersuchungsausschnitt zu ziehen. Prime Core hat 23.700 Erkennungsregeln für Microsoft Sentinel, die 674 MITRE ATT&CK-Techniken zugeordnet sind. Im Folgenden erfahren Sie, wie Sie die Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos starten

Bevor Sie beginnen

Berechtigungen. Log Analytics Reader oder Microsoft Sentinel Reader im Arbeitsbereich sind ausreichend.

Die Arbeitsbereichs-ID. Die CLI benötigt die GUID des Arbeitsbereichs von der Übersichtsseite des Arbeitsbereichs, nicht seinen Namen.

Kennen Sie Ihre Tabellen. Die wichtigsten: SecurityEvent (Windows), Syslog (Linux), SigninLogs und AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF von Firewalls und anderen Geräten), AzureActivity, sowie alle benutzerdefinierten _CL-Tabellen.

Aufbewahrungsebenen. Daten in der interaktiven Aufbewahrung können direkt abgefragt werden. Daten, die in die langfristige Aufbewahrung übergegangen sind, können nicht: Sie benötigen zuerst einen Suchauftrag oder eine Wiederherstellung. Einige Tabellenpläne (Basic, Auxiliary) begrenzen auch, was KQL tun kann.

Wo Sie KQL schreiben. Abhängig davon, wie Ihr Mandant eingerichtet ist, das ist Erweitertes Jagen im Microsoft Defender-Portal oder Protokolle im Azure-Portal. Die Abfragen sind die gleichen.

Die Befehle folgen Microsofts Dokumentation, überprüft Oktober 2026.

Schritt 1: Schreiben Sie die Abfrage

Beschränken Sie sich auf Ereignisse. Keine Zusammenfassungen, wenn Sie Protokolle zurückhaben möchten. Für Linux SSH-Aktivität:

Syslog
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer == "web-03"
| where ProcessName in ("sshd", "sshd-session")

Für Windows-Anmeldungen und Kontenänderungen auf einem Domänencontroller:

SecurityEvent
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer startswith "DC-01"

Führen Sie es zuerst im Portal aus und überprüfen Sie die Zeilenanzahl.

Schritt 2: Als JSON exportieren

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

Der erste Durchlauf kann fragen, ob die log-analytics-Erweiterung installiert werden soll. Sagen Sie ja.

PowerShell (Az-Modul):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

Abfrageergebnisse sind in Zeilen und Größe begrenzt. Für stark frequentierte Tabellen teilen Sie das Zeitfenster auf Stunden auf und führen Sie den Export einmal pro Abschnitt durch.

Schritt 3: Hochladen, bereinigen und überprüfen in LogTotal

1. Hochladen. Öffnen logtotal.com und die .jsonl-Datei einfügen.
2. Sanitieren. 
3. Überprüfen. 

Wenn es schief geht