Як експортувати журнали входу Microsoft Entra ID

У центрі адміністрування Microsoft Entra відкрийте Ідентичність → Моніторинг та здоров’я → Журнали входів, задайте ваші фільтри та виберіть Завантажити → JSON. Для більших або скриптованих завантажень використовуйте Microsoft Graph: GET /auditLogs/signIns. В будь-якому випадку, ви отримуєте лише те, що ще зберігається: 7 днів у Entra ID Free, 30 днів з P1 або P2.

Журнали входів показують, хто авторизувався, звідки, до якої програми, та чи утримувалися многофакторна аутентифікація (MFA) і умовний доступ. У атаках на основі ідентичності це більша частина історії. Prime Core має 170 правил виявлення для даних входу Entra ID, зіставлених зі 113 техніками MITRE ATT&CK. Серед них: розпилювання паролів (T1110.003), втома від MFA (T1621) і входи з викраденими обліковими даними хмари (T1078.004).

Почніть безкоштовно

Перед початком

Тривалість зберігання коротка. Якщо діяльність, яку ви шукаєте, старша за 7 або 30 днів, портал та Graph її не матимуть. Єдине місце, де вона може ще існувати, це те, куди ваші діагностичні налаштування надсилають журнали входів: робоче простір Log Analytics, Microsoft Sentinel або обліковий запис сховища. Дивіться наш [посібник з експорту Microsoft Sentinel] для цього шляху.

Ролі. Роль читача звітів є найменш привілейованою роллю, яка може читати журнали входів. Також працюють Безпековий читач і Глобальний читач.

Існує чотири види входів. Інтерактивний користувач, неінтерактивний користувач, сервісний принципал і керована ідентичність, кожен з яких має свою вкладку в порталі. Перегравання токенів та зловживання оновлюючими токенами зазвичай з’являються під неінтерактивний, про які люди забувають експортувати.

Варіант 1: Завантажити з порталу

1. Перейдіть до Журналів входів і виберіть вкладку (почніть з інтерактивного, потім неінтерактивний).
2. Set Дата та будь-які фільтри (користувач, програма, статус).
3. Виберіть Завантажити, потім JSON.

Портал обмежує кількість записів, які включає одне завантаження. [ПРОВІРКА: підтвердьте поточне обмеження.] Для великих діапазонів розділіть за днями або скористайтеся Graph.

Варіант 2: Microsoft Graph PowerShell

Це витягує сирий API JSON, слідує за пагінацією і записує один вхід на рядок:

Connect-MgGraph -Scopes "AuditLog.Read.All"

$uri = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$filter=createdDateTime ge 2026-10-19T00:00:00Z and createdDateTime lt 2026-10-20T00:00:00Z"

do {

    $page = Invoke-MgGraphRequest -Method GET -Uri $uri -OutputType Json | ConvertFrom-Json

    $page.value | ForEach-Object { $_ | ConvertTo-Json -Depth 10 -Compress } | Add-Content signins_1019.jsonl

    $uri = $page.'@odata.nextLink'

} while ($uri)

Точка доступу v1.0 повертає інтерактивні входи. Неінтерактивні і сервісні входи принципалів потребують бета-краю з фільтром signInEventTypes. Читання входів через API також залежить від рівня ліцензії вашого орендодавця.

Мітки часу у форматі UTC по всьому.

Що шукати

Шаблон, що варто зупинити: ряд 50126 невдач серед багатьох облікових записів з одного діапазону IP, а потім успіх для одного з них.

Завантажте, санітизуйте та перевірте в LogTotal

1. Завантаження. Відкрийте logtotal.com і вставте файл JSON. 
2. Санітизація. [what gets masked: UPNs, display names, IPs, device names, tenant and object IDs]. Look it over before you continue.
3. Перевірка. 

Коли щось йде не так