Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Если вы решили, что больше не хотите использовать экземпляр Microsoft Sentinel, связанный с рабочей областью Log Analytics, удалите Microsoft Sentinel из рабочей области. Но прежде чем это сделать, рассмотрите последствия, описанные в этой статье.
Удаление Microsoft Sentinel из рабочей области Log Analytics может занять до 48 часов. Конфигурация соединителя данных и таблицы Microsoft Sentinel удаляются. Другие ресурсы и данные хранятся в течение ограниченного времени.
Ваша подписка по-прежнему регистрируется в поставщике ресурсов Microsoft Sentinel. Но его можно удалить вручную.
Если вы не хотите сохранять рабочую область и данные, собранные для Microsoft Sentinel, удалите ресурсы, связанные с рабочей областью, в портал Azure.
Изменение цен
Когда Microsoft Sentinel удален из рабочей области, за данные в Azure Monitor Log Analytics по-прежнему могут взиматься расходы. Дополнительные сведения о том, как это влияет на стоимость уровня обязательств, см. в статье Поведение при отказе от упрощенного выставления счетов.
Конфигурации соединителя данных удалены
Конфигурации для следующего соединителя данных удаляются при удалении Microsoft Sentinel из рабочей области.
Microsoft 365
Веб-службы Amazon
Оповещения системы безопасности служб Майкрософт:
- Microsoft Defender для идентификации
- Microsoft Defender for Cloud Apps, включая отчеты Cloud Discovery о теневой ИТ-инфраструктуре
- Защита Microsoft Entra ID
- Microsoft Defender для конечной точки (средство защиты для конечных точек)
- Microsoft Defender для облака
Аналитика угроз
Общие журналы безопасности, включая журналы на основе CEF, Barracuda и Syslog. Если вы получаете оповещения системы безопасности от Microsoft Defender для облака, эти журналы продолжают собираться.
События безопасности Windows Если вы получаете оповещения системы безопасности от Microsoft Defender для облака, эти журналы продолжают собираться.
В течение первых 48 часов правила данных и аналитики, включая конфигурацию автоматизации в режиме реального времени, больше не будут доступны или запрашиваются в Microsoft Sentinel.
Удаленные ресурсы
Следующие ресурсы удаляются через 30 дней:
Инциденты (включая метаданные расследования)
Правила аналитики
Закладки
Сборники схем, сохраненные книги, сохраненные запросы охоты и записные книжки не удаляются. Некоторые из этих ресурсов могут сломаться из-за удаленных данных. Удалите эти ресурсы вручную.
После удаления службы существует льготный период в 30 дней для повторного включения Microsoft Sentinel. Правила данных и аналитики восстанавливаются, но настроенные соединители, которые были отключены, должны быть подключены повторно.
Microsoft Sentinel таблицы удалены
При удалении Microsoft Sentinel из рабочей области удаляются все Microsoft Sentinel таблицы. Данные в этих таблицах недоступны или недоступны для запросов. Но политика хранения данных, заданная для этих таблиц, применяется к данным в удаленных таблицах. Таким образом, если повторно включить Microsoft Sentinel в рабочей области в течение периода хранения данных, сохраненные данные будут восстановлены в этих таблицах.
Таблицы и связанные данные, недоступные при удалении Microsoft Sentinel включают, но не ограничиваются следующими таблицами:
AlertEvidenceAlertInfoAnomaliesASimAuditEventLogsASimAuthenticationEventLogsASimDhcpEventLogsASimDnsActivityLogsASimFileEventLogsASimNetworkSessionLogsASimProcessEventLogsASimRegistryEventLogsASimUserManagementActivityLogsASimWebSessionLogsAWSCloudTrailAWSCloudWatchAWSGuardDutyAWSVPCFlowCloudAppEventsCommonSecurityLogConfidentialWatchlistDataverseActivityDeviceEventsDeviceFileCertificateInfoDeviceFileEventsDeviceImageLoadEventsDeviceInfoDeviceLogonEventsDeviceNetworkEventsDeviceNetworkInfoDeviceProcessEventsDeviceRegistryEventsDeviceTvmSecureConfigurationAssessmentDeviceTvmSecureConfigurationAssessmentKBDeviceTvmSoftwareInventoryDeviceTvmSoftwareVulnerabilitiesDeviceTvmSoftwareVulnerabilitiesKBDnsEventsDnsInventoryDynamics365ActivityDynamicSummaryEmailAttachmentInfoEmailEventsEmailPostDeliveryEventsEmailUrlInfoGCPAuditLogsGoogleCloudSCCHuntingBookmarkIdentityDirectoryEventsIdentityLogonEventsIdentityQueryEventsLinuxAuditLogMcasShadowItReportingMicrosoftPurviewInformationProtectionNetworkSessionsOfficeActivityPowerAppsActivityPowerAutomateActivityPowerBIActivityPowerPlatformAdminActivityPowerPlatformConnectorActivityPowerPlatformDlpActivityProjectActivitySecurityAlertSecurityEventSecurityIncidentSentinelAuditSentinelHealthThreatIntelIndicatorsUrlClickEventsWatchlistWindowsEvent