你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn。
适用于 Microsoft Sentinel 的 Microsoft Exchange 日志和事件连接器
可以使用 Windows 代理从连接到 Microsoft Sentinel 工作区的 Windows 计算机流式传输所有 Exchange 审核事件、IIS 日志、HTTP 代理日志和安全事件日志。 可以通过此连接查看仪表板、创建自定义警报和改进调查。 Microsoft Exchange Security Workbooks 使用此它来提供本地 Exchange 环境的安全性见解
这是自动生成的内容。 有关更改,请联系解决方案提供商。
连接器属性
连接器属性 | 说明 |
---|---|
Log Analytics 表 | 活动 W3CIISLog MessageTrackingLog_CL ExchangeHttpProxy_CL |
数据收集规则支持 | 目前不支持 |
支持的服务 | 社区 |
查询示例
所有审核日志
Event
| where EventLog == 'MSExchange Management'
| sort by TimeGenerated
先决条件
若要与 Microsoft Exchange 日志和事件集成,请确保具有:
- ****:Azure Log Analytics 将被弃用,若要从非 Azure VM 收集数据,建议使用 Azure Arc。 了解详细信息
供应商安装说明
注意
此数据连接器依赖于基于 Kusto 函数的分析程序来按预期方式工作。 按照步骤创建 Kusto Functions 别名:ExchangeAdminAuditLogs
注意
此解决方案基于选项。 这让你可以选择将引入哪些数据,因为某些选项可以生成大量数据。 根据要收集的内容,在 Workbooks、分析规则、搜寻功能中跟踪,你将可以选择要部署的选项。 每个选项彼此独立。 若要详细了解每个选项:“Microsoft Exchange 安全性”wiki
- 下载并安装收集 Microsoft Sentinel 日志所需的代理
服务器类型(Exchange 服务器、链接到 Exchange 服务器的域控制器或所有域控制器),具体取决于要部署的选项。
- 根据所选选项部署日志引入
后续步骤
有关详细信息,请转到 Azure 市场中的相关解决方案。