azure 哨兵 : How to convert the existing log analytics as Azure Sentinel workspace?

Question

我有一个集中式日志分析工作区，所有日志都会发送到该工作区，包括:

1. 事件日志
2. 网络日志
3. 资源日志
4. 系统指标
5. 应用日志
6. 应用洞察

现在，我想将此日志分析工作区用作哨兵工作区，这样我就不必连接各个资源。

这可以实现吗？如果是这样，怎么办？

Answer 1

是的，集中式日志分析工作区可以用作 Sentinel 工作区，以加快日志分析和监控，而无需单独连接到不同的资源。

要实现此目的，请在门户中创建 Microsoft 哨兵，链接创建哨兵时需要链接的工作区，并启用 UEBA。详见 MSDoc .

要启用此功能，请转到Microsoft Sentinel -> 配置 -> 设置。您需要具有全局管理员或安全管理员权限，如图所示。

要将工作区日志连接到 Sentinel，请滚动到数据连接器，然后搜索需要与 Sentinel 链接的 Azure 事件日志。然后如图所示，它会将您重定向到连接器页面。

完成后，您可以创建工作簿和分析规则，从而创建仪表板来可视化数据并通知安全警报。

您还可以查询链接到 Sentinel 的各个工作区日志，如下所示。

引用这些Microsoft sentinel & Microsoft Q&A了解满足此要求的更多相关方法。