Przywróć zarchiwizowane dzienniki z poziomu wyszukiwania

Jeśli musisz przeanalizować historyczne dane dotyczące zabezpieczeń, które zostały przeniesione do magazynu długoterminowego, możesz przywrócić zarchiwizowane dzienniki, aby były dostępne na potrzeby wysokowydajnych zapytań i analiz. W tym artykule opisano sposób przywracania zarchiwizowanych danych dziennika w Microsoft Sentinel, wyświetlania przywróconych wyników i usuwania przywróconych tabel, gdy nie są już potrzebne.

Ważna

Po 31 marca 2027 r. Microsoft Sentinel nie będą już obsługiwane w Azure Portal i będą dostępne tylko w portalu Microsoft Defender. Wszyscy klienci korzystający z Microsoft Sentinel w Azure Portal zostaną przekierowane do portalu usługi Defender i będą używać Microsoft Sentinel tylko w portalu usługi Defender.

Jeśli nadal używasz Microsoft Sentinel w Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia płynnego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez Microsoft Defender.

Wymagania wstępne

Przywracanie zarchiwizowanych danych dziennika w Microsoft Sentinel opiera się na możliwości przywracania Azure Monitor. Przed rozpoczęciem zapoznaj się z wymaganiami i ograniczeniami w temacie Przywracanie w Azure Monitor.

Przywracanie zarchiwizowanych danych dziennika

Aby przywrócić zarchiwizowane dane dziennika w Microsoft Sentinel, określ tabelę i zakres czasu dla danych, które chcesz przywrócić. W ciągu kilku minut dane dziennika są dostępne w obszarze roboczym usługi Log Analytics. Następnie możesz używać tych danych w wysokowydajnych zapytaniach, które obsługują pełny język zapytań Kusto (KQL).

Przywróć zarchiwizowane dane bezpośrednio ze strony wyszukiwania lub z zapisanego wyszukiwania.

1. W portalu Microsoft Defender strona Wyszukiwanie znajduje się na głównym poziomie Microsoft Sentinel. W Microsoft Sentinel wybierz pozycję Wyszukaj. W witrynie Azure Portal strona Wyszukiwania znajduje się w obszarze Ogólne.

2. Przywróć dane dziennika przy użyciu jednej z następujących metod:

   • Wybierz pozycję Przywróć w górnej części strony. W okienku Przywracanie z boku wybierz tabelę i zakres czasu, które chcesz przywrócić, a następnie wybierz pozycję Przywróć w dolnej części okienka.

   • Wybierz pozycję Zapisane wyszukiwania, znajdź wyniki wyszukiwania, które chcesz przywrócić, a następnie wybierz pozycję Przywróć. Jeśli masz wiele tabel, wybierz tę, którą chcesz przywrócić, a następnie wybierz pozycję Akcje > Przywróć w okienku bocznym. Przykład:

     

3. Poczekaj na przywrócenie danych dziennika. Wyświetl stan zadania przywracania, wybierając kartę Przywracanie.

Wyświetlanie przywróconych danych dziennika

Wyświetl stan i wyniki przywracania danych dziennika, przechodząc do karty Przywracanie . Przywrócone dane można wyświetlić, gdy stan zadania przywracania będzie zawierać dane dostępne.

1. W Microsoft Sentinel wybierz pozycję Wyszukiwanie>Przywracanie wyników wyszukiwania.

2. Po zakończeniu zadania przywracania i zaktualizowaniu stanu wybierz nazwę tabeli i przejrzyj wyniki.

   W Azure Portal wyniki są wyświetlane na stronie zapytania Dzienniki. W portalu Defender wyniki są wyświetlane na stronie Zaawansowane wyszukiwanie zagrożeń.

   Przykład:

   

   Zakres czasu jest ustawiony na niestandardowy zakres czasu, który używa czasu rozpoczęcia i zakończenia przywróconych danych.

Usuwanie przywróconych tabel danych

Aby zaoszczędzić koszty, zalecamy usunięcie przywróconej tabeli, gdy nie będzie ona już potrzebna. Po usunięciu przywróconej tabeli bazowe dane źródłowe nie zostaną usunięte.

1. W Microsoft Sentinel wybierz pozycje Wyszukiwanie>Przywracanie i wskaż tabelę, którą chcesz usunąć.

2. Wybierz pozycję Usuń dla tego wiersza tabeli, aby usunąć przywróconą tabelę.

Następne kroki

• Wyszukiwanie za pomocą zakładek