Partilhar via

Restaurar logs arquivados da pesquisa

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Restaure dados de um log arquivado para usar em consultas e análises de alto desempenho.

Importante

O Microsoft Sentinel está geralmente disponível no portal do Microsoft Defender, inclusive para clientes sem o Microsoft Defender XDR ou uma licença E5.

A partir de julho de 2026, todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel somente no portal do Defender. A partir de julho de 2025, muitos novos clientes são automaticamente integrados e redirecionados para o portal Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição suave e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender. Para obter mais informações, consulte É hora de mover: desativando o portal do Azure do Microsoft Sentinel para maior segurança.

Pré-requisitos

Antes de restaurar dados em um log arquivado, consulte Restaurar no Azure Monitor.

Restaurar dados de log arquivados

Para restaurar dados de log arquivados no Microsoft Sentinel, especifique a tabela e o intervalo de tempo para os dados que você deseja restaurar. Em poucos minutos, os dados de log estarão disponíveis no espaço de trabalho do Log Analytics. Em seguida, você pode usar os dados em consultas de alto desempenho que suportam Kusto Query Language (KQL) completo.

Restaure os dados arquivados diretamente da página Pesquisar ou de uma pesquisa salva.

  1. No portal do Defender, esta página está no nível raiz do Microsoft Sentinel. No Microsoft Sentinel, selecione Pesquisar. No portal do Azure, esta página está listada em Geral.

  2. Restaure os dados de log usando um dos seguintes métodos:

    • Selecione Restaurar na parte superior da página. No painel Restauração , ao lado, selecione a tabela e o intervalo de tempo que pretende restaurar e, em seguida, selecione Restaurar na parte inferior do painel.

    • Selecione Pesquisas guardadas, localize os resultados da pesquisa que pretende restaurar e, em seguida, selecione Restaurar. Se tiver várias tabelas, selecione a que pretende restaurar e, em seguida, selecione Ações > de Restauro no painel lateral. Por exemplo:

      Captura de ecrã a mostrar o restauro de uma pesquisa de um site específico.

  3. Aguarde até que os dados de log sejam restaurados. Veja o estado do seu trabalho de restauro selecionando no separador Restauração .

Exibir dados de log restaurados

Exiba o status e os resultados da restauração dos dados de log indo para a guia Restauração . Você pode exibir os dados restaurados quando o status do trabalho de restauração mostra Dados disponíveis.

  1. No Microsoft Sentinel, selecione Pesquisar>Restauração.

  2. Quando o trabalho de restauração estiver concluído e o status for atualizado, selecione o nome da tabela e revise os resultados.

    No portal do Azure, os resultados são mostrados na página de consulta Logs . No portal Defender, os resultados são mostrados na página Caça avançada .

    Por exemplo:

    Captura de ecrã que mostra o painel de consulta de registos com os resultados da tabela restaurada.

    O intervalo de tempo é definido como um intervalo de tempo personalizado que usa as horas de início e término dos dados restaurados.

Excluir tabelas de dados restauradas

Para economizar custos, recomendamos que você exclua a tabela restaurada quando não precisar mais dela. Quando você exclui uma tabela restaurada, os dados de origem subjacentes não são excluídos.

  1. No Microsoft Sentinel, selecione Restauração de Pesquisa> e identifique a tabela que deseja excluir.

  2. Selecione Excluir para essa linha da tabela para excluir a tabela restaurada.

Próximos passos

  • Last updated on