你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

适用于 Microsoft Sentinel 的 Microsoft Exchange 基于事件日志的管理审核日志连接器

[选项 1] - 使用 Azure Monitor 代理 - 可以使用 Windows 代理从连接到 Microsoft Sentinel 工作区的 Windows 计算机流式传输所有 Exchange 审核事件。 可以通过此连接查看仪表板、创建自定义警报和改进调查。 Microsoft Exchange Security Workbooks 使用此它来提供本地 Exchange 环境的安全性见解

这是自动生成的内容。 有关更改，请联系解决方案提供商。

连接器属性

连接器属性	说明
Log Analytics 表	活动
数据收集规则支持	目前不支持
支持的服务	社区

查询示例

所有审核日志

Event 
| where EventLog == 'MSExchange Management' 
| sort by TimeGenerated

先决条件

若要与 Microsoft Exchange 基于事件日志的管理审核日志集成，请确保具有：

• ****：Azure Log Analytics 将被弃用，若要从非 Azure VM 收集数据，建议使用 Azure Arc。 了解详细信息
• 详细文档：>注意：有关安装过程和使用方法的详细文档可在此处找到

供应商安装说明

注意

此解决方案基于选项。 这让你可以选择将引入哪些数据，因为某些选项可以生成大量数据。 根据要收集的内容，在 Workbooks、分析规则、搜寻功能中跟踪，你将可以选择要部署的选项。 每个选项彼此独立。 若要详细了解每个选项：“Microsoft Exchange 安全性”wiki

此数据连接器是 Wiki 的选项 1。

1. 下载并安装收集 Microsoft Sentinel 日志所需的代理

服务器类型（Exchange 服务器、链接到 Exchange 服务器的域控制器或所有域控制器），具体取决于要部署的选项。

2. [选项 1] MS Exchange 管理日志收集 - 使用数据收集规则收集 MS Exchange 管理审核事件日志

MS Exchange 管理审核事件日志是使用数据收集规则 (DCR) 收集的，并允许存储 Exchange 环境中执行的所有管理 Cmdlet。

注意

此数据连接器依赖于基于 Kusto 函数的分析程序来按预期方式工作。 分析器会自动随解决方案一起部署。 按照步骤创建 Kusto Functions 别名：ExchangeAdminAuditLogs

后续步骤

有关详细信息，请转到 Azure 市场中的相关解决方案。