Jak eksportować dzienniki z Microsoft Sentinel

Dane Sentinel znajdują się w przestrzeni roboczej Log Analytics, więc eksport to zapytanie KQL oraz sposób na zapisanie wyników jako JSON. Najprostszą metodą jest użycie Azure CLI: az monitor log-analytics query zwraca jeden obiekt JSON na wiersz. Przycisk eksportu w portalu tworzy plik w stylu arkusza kalkulacyjnego, którego LogTotal obecnie nie odczytuje, więc do przesyłania używaj CLI lub PowerShell.

Sentinel zbiera dane zewsząd: Windows, Linux, Entra ID, Microsoft 365, zapory, chmury. Dzięki temu jest to naturalne miejsce do pobrania fragmentu do analizy. Prime Core ma 23 700 reguł wykrywania dla Microsoft Sentinel, mapowanych na 674 techniki MITRE ATT&CK. Poniżej znajduje się sposób na pobranie danych, ich oczyszczenie i bezpłatne zbadanie ich w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Uprawnienia. Log Analytics Reader lub Microsoft Sentinel Reader w przestrzeni roboczej wystarczy.

Identyfikator przestrzeni roboczej. CLI potrzebuje identyfikatora GUID przestrzeni roboczej, z jej strony przeglądu, a nie nazwy.

Poznaj swoje tabele. Te, które są najważniejsze: SecurityEvent (Windows), Syslog (Linux), SigninLogs i AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF ze ścian ogniowych i innych urządzeń), AzureActivity oraz wszelkie niestandardowe tabele _CL.

Pogodniczki przechowywania. Dane w interaktywnej retencji mogą być bezpośrednio zapytane. Dane, które przeszły do retencji długoterminowej, nie mogą: potrzebujesz pracy wyszukiwania lub najpierw przywrócenia. Niektóre plany tabel (Podstawowy, Pomocniczy) również ograniczają to, co KQL może zrobić.

Gdzie piszesz KQL. W zależności od tego, jak skonfigurowana jest twoja dzierżawa, to jest Zaawansowane myśliwsko w portalu Microsoft Defender lub Logi w portalu Azure. Zapytania są takie same.

Polecenia zgodne z dokumentacją Microsoft, sprawdzone październik 2026.

Krok 1: Napisz zapytanie

Ogranicz do zdarzeń. Bez podsumowań, jeśli chcesz zwrócić logi. Dla aktywności SSH Linux:

Syslog
| gdzie TimeGenerated między (datetime(2026-10-19) .. datetime(2026-10-20))
| gdzie Komputer == "web-03"
| gdzie ProcessName w ("sshd", "sshd-session")

Dla logowań Windows i zmian kont na kontrolerze domeny:

SecurityEvent
| gdzie TimeGenerated między (datetime(2026-10-19) .. datetime(2026-10-20))
| gdzie Komputer zaczyna się od "DC-01"

Uruchom to najpierw w portalu i sprawdź liczbę wierszy.

Krok 2: Eksportuj jako JSON

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | gdzie TimeGenerated między (datetime(2026-10-19) .. datetime(2026-10-20)) | gdzie Komputer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

Przy pierwszym uruchomieniu może poprosić o instalację rozszerzenia log-analytics. Powiedz tak.

PowerShell (Moduł Az):

Connect-AzAccount
$kql = "SecurityEvent | gdzie TimeGenerated między (datetime(2026-10-19) .. datetime(2026-10-20)) | gdzie Komputer zaczyna się od 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

Wyniki zapytania są ograniczone w wierszach i rozmiarze. Dla aktywnych tabel podziel okno czasowe na godziny i uruchom eksport raz na fragment.

Krok 3: Prześlij, oczyść i sprawdź w LogTotal

1. Prześlij. Otwórz logtotal.com i upuść plik .jsonl.
2. Oczyść. 
3. Sprawdź. 

Kiedy coś idzie źle