Restaurar logs arquivados da pesquisa

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Quando você precisa investigar dados históricos de segurança que foram movidos para o armazenamento de longo prazo, você pode restaurar logs arquivados para disponibilizá-los para consultas e análises de alto desempenho. Este artigo explica como restaurar dados de log arquivados em Microsoft Sentinel, exibir os resultados restaurados e excluir tabelas restauradas quando você não precisar mais deles.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Pré-requisitos

Restaurar dados de log arquivados em Microsoft Sentinel depende da funcionalidade de restauração Azure Monitor. Antes de começar, revise os requisitos e as limitações em Restauração no Azure Monitor.

Restaurar dados de log arquivados

Para restaurar dados de log arquivados no Microsoft Sentinel, especifique a tabela e o intervalo de tempo dos dados que você deseja restaurar. Em poucos minutos, os dados do log estarão disponíveis no workspace do Log Analytics. Em seguida, você pode usar os dados em consultas de alto desempenho que dão suporte à Linguagem de Consulta Kusto (KQL) completa.

Restaure dados arquivados diretamente da página de Pesquisa ou de uma pesquisa salva.

  1. No portal do Defender, a página Pesquisa está no nível raiz do Microsoft Sentinel. No Microsoft Sentinel, selecione Pesquisar. No portal do Azure, a página Pesquisa está listada em Geral.

  2. Restaure os dados de log usando um dos seguintes métodos:

    • Selecione Restaurar na parte superior da página. No painel Restauração ao lado, selecione a tabela e o intervalo de tempo que deseja restaurar e selecione Restaurar na parte inferior do painel.

    • Selecione Pesquisas salvas, localize os resultados da pesquisa que você deseja restaurar e selecione Restaurar. Se você tiver várias tabelas, selecione aquela que deseja restaurar e selecione Ações > de Restauração no painel lateral. Por exemplo:

      Captura de tela da restauração de uma pesquisa específica no site.

  3. Aguarde até que os dados de log sejam restaurados. Veja o status do seu trabalho de restauração selecionando a guia Restauração.

Exibir dados de log restaurados

Exiba o status e os resultados da restauração de dados de log acessando a guia Restauração. Você pode exibir os dados restaurados quando o status do trabalho de restauração mostrar Dados Disponíveis.

  1. No Microsoft Sentinel, selecione Pesquisa>Restauração.

  2. Quando o trabalho de restauração for concluído e o status for atualizado, selecione o nome da tabela e examine os resultados.

    No portal do Azure, os resultados são mostrados na página de consulta Logs. No portal do Defender, os resultados são mostrados na página Busca avançada .

    Por exemplo:

    Captura de tela que mostra o painel de consulta de logs com os resultados da tabela restaurada.

    O Intervalo de tempo é definido como um intervalo de tempo personalizado que usa os horários de início e término dos dados restaurados.

Excluir tabelas de dados restauradas

Para economizar custos, recomendamos que você exclua a tabela restaurada quando não precisar mais dela. Quando você exclui uma tabela restaurada, os dados de origem subjacentes não são excluídos.

  1. No Microsoft Sentinel, selecione Pesquisar>Restauração e identifique a tabela que você deseja excluir.

  2. Selecione Excluir para essa linha da tabela para excluir a tabela restaurada.

Próximas etapas

  • Última atualização em