Microsoft Sentinel에서 로그 내보내는 방법

Sentinel 데이터는 Log Analytics 작업 영역에 저장되므로 내보내기는 KQL 쿼리와 결과를 JSON으로 저장하는 방법입니다. 가장 간단한 방법은 Azure CLI: az monitor log-analytics query가 행당 하나의 JSON 객체를 반환합니다. 포털의 내보내기 버튼은 현재 LogTotal에서 읽지 않는 스프레드시트 스타일의 파일을 생성하므로, 업로드를 위해 CLI나 PowerShell을 사용하십시오.

Sentinel은 Windows, Linux, Entra ID, Microsoft 365, 방화벽, 클라우드 등 모든 곳에서 데이터를 수집합니다. 이는 조사 조각을 가져오는 자연스러운 위치로 만듭니다. Prime Core에는 Microsoft Sentinel용으로 674개의 MITRE ATT&CK 기술에 매핑된 23,700개의 탐지 규칙이 있습니다. 아래는 데이터를 가져오고, 이를 정리하며 LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

권한. 작업 영역에서 Log Analytics Reader나 Microsoft Sentinel Reader이면 충분합니다.

작업 영역 ID. CLI는 작업 영역의 개요 페이지에서 가져온 작업 영역 GUID를 필요로 하며, 이름이 아닙니다.

테이블을 알아야 합니다. 가장 중요한 것들: SecurityEvent (Windows), Syslog (Linux), SigninLogs 및 AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (방화벽 및 기타 장비의 CEF), AzureActivity, 그 외의 사용자 지정 _CL 테이블들.

보존 등급. 대화형 보존의 데이터는 직접 쿼리할 수 있습니다. 장기 보존으로 넘어간 데이터는 불가: 검색 작업 또는 복원이 먼저 필요합니다. 일부 테이블 계획 (기본, 보조)도 KQL 사용을 제한합니다.

KQL을 작성하는 곳. 테넌트가 설정된 방식에 따라, Microsoft Defender 포털의 고급 사냥 또는 Azure 포털의 로그 에서 작성할 수 있습니다. 쿼리는 동일합니다.

명령은 Microsoft의 문서를 따르며, 2026년 10월에 확인되었습니다.

1단계: 쿼리 작성

이벤트에만 집중하십시오. 로그를 돌려받고 싶으면 요약하지 마십시오. Linux SSH 활동의 경우:

Syslog
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer == "web-03"
| where ProcessName in ("sshd", "sshd-session")

도메인 컨트롤러의 Windows 로그온 및 계정 변경 사항의 경우:

SecurityEvent
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer startswith "DC-01"

먼저 포털에서 실행하고 행 수를 확인하십시오.

2단계: JSON으로 내보내기

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

첫 실행 시 log-analytics 확장을 설치하라는 메시지가 표시될 수 있습니다. 예를 선택하십시오.

PowerShell (Az 모듈):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

쿼리 결과는 행 수와 크기에 제한이 있습니다. 바쁜 테이블의 경우, 창을 몇 시간으로 나누어 슬라이스마다 한번씩 내보내기를 실행하십시오.

3단계: LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 그리고 .jsonl 파일을 드롭하여 업로드하십시오.
2. 정리. 
3. 검토. 

문제가 발생했을 때