Як експортувати журнали з Microsoft Sentinel

Дані Sentinel знаходяться у сховищі Log Analytics, тому експорт – це KQL-запит плюс спосіб збереження результатів у форматі JSON. Найпростіший варіант – це Azure CLI: az monitor log-analytics query повертає один об’єкт JSON на рядок. Кнопка експорту на порталі створює файл у стилі електронної таблиці, який LogTotal наразі не читає, тому для завантажень використовуйте CLI або PowerShell.

Sentinel збирає дані звідусіль: Windows, Linux, Entra ID, Microsoft 365, фаєрволи, хмари. Це природне місце для вилучення фрагмента розслідування. Prime Core має 23 700 правил виявлення для Microsoft Sentinel, відображених на 674 техніки MITRE ATT&CK. Нижче описано, як отримати дані, очистити їх та безкоштовно дослідити в LogTotal.

Розпочніть безкоштовно

Перед початком

Дозволи. Читач Log Analytics або Читач Microsoft Sentinel у робочому просторі достатньо.

Ідентифікатор робочого простору. CLI потрібен GUID робочого простору, з оглядової сторінки робочого простору, а не його назва.

Знати свої таблиці. Ті, що мають найбільше значення: SecurityEvent (Windows), Syslog (Linux), SigninLogs та AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF з фаєрволів та інших пристроїв), AzureActivity, та будь-які користувацькі _CL таблиці.

Рівні утримання. Дані в інтерактивному утриманні можна запитувати напряму. Дані, що перейшли в довгострокове утримання, не можна: потрібно запустити пошуковий запит або відновити спочатку. Деякі плани таблиць (Basic, Auxiliary) також обмежують можливості KQL.

Де писати KQL. Залежно від налаштування вашого орендодавця, це може бути Розширеного пошуку у порталі Microsoft Defender або Логи у порталі Azure. Запити однакові.

Команди відповідають документації Microsoft, перевірено жовтень 2026.

Крок 1: Напишіть запит

Залиште це для подій. Ніяких підсумків, якщо ви хочете повернути логи. Для активності SSH у Linux:

Syslog
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer == "web-03"
| where ProcessName in ("sshd", "sshd-session")

Для входів Windows та зміни облікових записів на контролері домену:

SecurityEvent
| where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))
| where Computer startswith "DC-01"

Запустіть його спочатку на порталі та перевірте кількість рядків.

Крок 2: Експортуйте у формат JSON

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

Первий запуск може запросити встановити розширення log-analytics. Скажіть так.

PowerShell (Модуль Az):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

Результати запиту обмежені кількістю рядків та розміром. Для завантажених таблиць розділіть вікно на години та запускайте експорт раз на зріз.

Крок 3: Завантажте, очистіть та перевірте в LogTotal

1. Завантажте. Відкрийте logtotal.com і завантажте файл .jsonl.
2. Очистіть. 
3. Перевірте. 

Коли щось йде не так