你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

适用于 Microsoft Sentinel 的 Microsoft Exchange 日志和事件连接器

可以使用 Windows 代理从连接到 Microsoft Sentinel 工作区的 Windows 计算机流式传输所有 Exchange 审核事件、IIS 日志、HTTP 代理日志和安全事件日志。 可以通过此连接查看仪表板、创建自定义警报和改进调查。 Microsoft Exchange Security Workbooks 使用此它来提供本地 Exchange 环境的安全性见解

这是自动生成的内容。 有关更改，请联系解决方案提供商。

连接器属性

连接器属性	说明
Log Analytics 表	活动 W3CIISLog MessageTrackingLog_CL ExchangeHttpProxy_CL
数据收集规则支持	目前不支持
支持的服务	社区

查询示例

所有审核日志

Event 
| where EventLog == 'MSExchange Management' 
| sort by TimeGenerated

先决条件

若要与 Microsoft Exchange 日志和事件集成，请确保具有：

• ****：Azure Log Analytics 将被弃用，若要从非 Azure VM 收集数据，建议使用 Azure Arc。 了解详细信息

供应商安装说明

注意

此数据连接器依赖于基于 Kusto 函数的分析程序来按预期方式工作。 按照步骤创建 Kusto Functions 别名：ExchangeAdminAuditLogs

注意

此解决方案基于选项。 这让你可以选择将引入哪些数据，因为某些选项可以生成大量数据。 根据要收集的内容，在 Workbooks、分析规则、搜寻功能中跟踪，你将可以选择要部署的选项。 每个选项彼此独立。 若要详细了解每个选项：“Microsoft Exchange 安全性”wiki

1. 下载并安装收集 Microsoft Sentinel 日志所需的代理

服务器类型（Exchange 服务器、链接到 Exchange 服务器的域控制器或所有域控制器），具体取决于要部署的选项。

2. 根据所选选项部署日志引入

后续步骤

有关详细信息，请转到 Azure 市场中的相关解决方案。