Note
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de changer d’annuaire.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de changer d’annuaire.
Si vous décidez que vous ne souhaitez plus utiliser votre instance Microsoft Sentinel associée à un espace de travail Log Analytics, supprimez Microsoft Sentinel de l’espace de travail. Mais avant de le faire, tenez compte des implications décrites dans cet article.
La suppression de Microsoft Sentinel de l’espace de travail Log Analytics peut prendre jusqu’à 48 heures. La configuration du connecteur de données et les tables Microsoft Sentinel sont supprimées. D’autres ressources et données sont conservées pendant une durée limitée.
Votre abonnement continue d’être inscrit auprès du fournisseur de ressources Microsoft Sentinel. Toutefois, vous pouvez le supprimer manuellement.
Si vous ne souhaitez pas conserver l’espace de travail et les données collectées pour Microsoft Sentinel, supprimez les ressources associées à l’espace de travail dans le portail Azure.
Modifications de tarification
Lorsque Microsoft Sentinel est supprimé d’un espace de travail, des coûts peuvent toujours être associés aux données dans Azure Monitor Log Analytics. Pour plus d’informations sur l’effet engendré sur les coûts du niveau d’engagement, consultez Comportement de retrait de facturation simplifié.
Configurations du connecteur de données supprimées
Les configurations du connecteur de données suivant sont supprimées lorsque vous supprimez Microsoft Sentinel de votre espace de travail.
Microsoft 365
Amazon Web Services
Alertes de sécurité des services Microsoft :
- Microsoft Defender pour Identity
- Microsoft Defender for Cloud Apps, y compris le rapport informatique Shadow Cloud Discovery
- Protection de l'identifiant Microsoft Entra
- Microsoft Defender pour Endpoint
- Microsoft Defender pour le cloud
Informations sur les menaces
Journaux de sécurité courants, notamment les journaux basés sur CEF, Barracuda et Syslog. Si vous recevez des alertes de sécurité à partir de Microsoft Defender pour le cloud, ces journaux continuent d’être collectés.
Événements de sécurité Windows. Si vous recevez des alertes de sécurité à partir de Microsoft Defender pour le cloud, ces journaux continuent d’être collectés.
Dans les 48 premières heures, les règles de données et d’analytique, qui incluent la configuration d’automatisation en temps réel, ne sont plus accessibles ou interrogeables dans Microsoft Sentinel.
Ressources supprimées
Les ressources suivantes sont supprimées après 30 jours :
Incidents (dont les métadonnées d’enquête)
Règles analytiques
Signets
Vos playbooks, classeurs enregistrés, requêtes de repérage enregistrées et blocs-notes ne sont pas supprimés. Certaines de ces ressources peuvent s’interrompre en raison des données supprimées. Supprimez ces ressources manuellement.
Après avoir supprimé le service, il existe une période de grâce de 30 jours pour réactiver Microsoft Sentinel. Vos règles de données et d’analytique sont restaurées, mais les connecteurs configurés qui ont été déconnectés doivent être reconnectés.
Tables Microsoft Sentinel supprimées
Lorsque vous supprimez Microsoft Sentinel de votre espace de travail, toutes les tables Microsoft Sentinel sont supprimées. Les données de ces tables ne sont pas accessibles ou interrogeables. Toutefois, la stratégie de rétention des données définie pour ces tables s’applique aux données des tables supprimées. Par conséquent, si vous réactivez Microsoft Sentinel sur l’espace de travail au cours de la période de rétention des données, les données conservées sont restaurées dans ces tables.
Les tables et les données associées inaccessibles lorsque vous supprimez Microsoft Sentinel incluent, mais ne sont pas limitées aux tableaux suivants :
AlertEvidenceAlertInfoAnomaliesASimAuditEventLogsASimAuthenticationEventLogsASimDhcpEventLogsASimDnsActivityLogsASimFileEventLogsASimNetworkSessionLogsASimProcessEventLogsASimRegistryEventLogsASimUserManagementActivityLogsASimWebSessionLogsAWSCloudTrailAWSCloudWatchAWSGuardDutyAWSVPCFlowCloudAppEventsCommonSecurityLogConfidentialWatchlistDataverseActivityDeviceEventsDeviceFileCertificateInfoDeviceFileEventsDeviceImageLoadEventsDeviceInfoDeviceLogonEventsDeviceNetworkEventsDeviceNetworkInfoDeviceProcessEventsDeviceRegistryEventsDeviceTvmSecureConfigurationAssessmentDeviceTvmSecureConfigurationAssessmentKBDeviceTvmSoftwareInventoryDeviceTvmSoftwareVulnerabilitiesDeviceTvmSoftwareVulnerabilitiesKBDnsEventsDnsInventoryDynamics365ActivityDynamicSummaryEmailAttachmentInfoEmailEventsEmailPostDeliveryEventsEmailUrlInfoGCPAuditLogsGoogleCloudSCCHuntingBookmarkIdentityDirectoryEventsIdentityLogonEventsIdentityQueryEventsLinuxAuditLogMcasShadowItReportingMicrosoftPurviewInformationProtectionNetworkSessionsOfficeActivityPowerAppsActivityPowerAutomateActivityPowerBIActivityPowerPlatformAdminActivityPowerPlatformConnectorActivityPowerPlatformDlpActivityProjectActivitySecurityAlertSecurityEventSecurityIncidentSentinelAuditSentinelHealthThreatIntelligenceIndicatorUrlClickEventsWatchlistWindowsEvent