Compartir a través de

Consultas para la tabla SentinelAudit

  • Artículo

Para obtener información sobre el uso de estas consultas en Azure Portal, consulte tutorial de Log Analytics. Para obtener la API REST, consulte Consulta.

Muestra los registros de auditoría de los intentos erróneos de actualizar los recursos de Sentinel relacionados con Office365-Sharepoint, con un filtro opcional por el nombre del autor de la llamada y el identificador del área de trabajo.

SentinelAudit
//| where WorkspaceId == "<WorkspaceId>"  // to filter on a specific WorspaceId, uncomment this line
| extend CallerName = tostring(ExtendedProperties.CallerName)
// | where CallerName startswith "<userName>" // to to filter on a specific user, uncomment this line
| where Status == "Failure"
| where SentinelResourceName has "Office365-Sharepoint"
| limit 100