Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Se si decide di non usare più l'istanza di Microsoft Sentinel associata a un'area di lavoro Log Analytics, rimuovere Microsoft Sentinel dall'area di lavoro. Prima di procedere, tuttavia, considerare le implicazioni descritte in questo articolo.
La rimozione di Microsoft Sentinel dall'area di lavoro Log Analytics può richiedere fino a 48 ore. La configurazione del connettore dati e le tabelle Microsoft Sentinel vengono eliminate. Altre risorse e dati vengono conservati per un periodo di tempo limitato.
La sottoscrizione continua a essere registrata con il provider di risorse Microsoft Sentinel. Tuttavia, è possibile rimuoverlo manualmente.
Se non si vuole mantenere l'area di lavoro e i dati raccolti per Microsoft Sentinel, eliminare le risorse associate all'area di lavoro nel portale di Azure.
Modifiche dei prezzi
Quando Microsoft Sentinel viene rimosso da un'area di lavoro, potrebbero essere ancora presenti costi associati ai dati in Monitoraggio di Azure Log Analytics. Per ulteriori informazioni sull'impatto sui costi del livello di impegno, consulta Comportamento della disattivazione della fatturazione semplificata.
Configurazioni del connettore dati rimosse
Le configurazioni per il connettore dati seguente vengono rimosse quando si rimuove Microsoft Sentinel dall'area di lavoro.
Microsoft 365
Amazon Web Services
Avvisi di sicurezza dei servizi Microsoft:
- Microsoft Defender per identità
- Microsoft Defender per Cloud Apps inclusi i report su Shadow IT di Cloud Discovery
- Microsoft Entra ID Protection (Protezione ID di Microsoft Entra)
- Microsoft Defender per endpoint
- Microsoft Defender per il cloud
Intelligence per le minacce
Log di sicurezza comuni, inclusi i log basati su CEF, Barracuda e Syslog. Se si ricevono avvisi di sicurezza da Microsoft Defender per cloud, questi log continuano a essere raccolti.
eventi Sicurezza di Windows. Se si ricevono avvisi di sicurezza da Microsoft Defender per cloud, questi log continuano a essere raccolti.
Entro le prime 48 ore, le regole di dati e analisi, che includono la configurazione di automazione in tempo reale, non sono più accessibili o su cui è possibile eseguire query in Microsoft Sentinel.
Risorse rimosse
Le risorse seguenti vengono rimosse dopo 30 giorni:
Eventi imprevisti (inclusi i metadati dell'indagine)
Regole di analisi
Segnalibri
I playbook, le cartelle di lavoro salvate, le query di ricerca salvate e i notebook non vengono rimossi. Alcune di queste risorse potrebbero interrompersi a causa dei dati rimossi. Rimuovere manualmente tali risorse.
Dopo aver rimosso il servizio, è previsto un periodo di tolleranza di 30 giorni per riabilitare Microsoft Sentinel. Le regole di analisi e dati vengono ripristinate, ma i connettori configurati disconnessi devono essere riconnessi.
Tabelle di Microsoft Sentinel eliminate
Quando si rimuove Microsoft Sentinel dall'area di lavoro, vengono eliminate tutte le tabelle Microsoft Sentinel. I dati in queste tabelle non sono accessibili o su cui è possibile eseguire query. Tuttavia, il set di criteri di conservazione dei dati per tali tabelle si applica ai dati nelle tabelle eliminate. Pertanto, se si riattiva Microsoft Sentinel per l'area di lavoro entro il periodo di tempo di conservazione dei dati, i dati conservati vengono ripristinati in quelle tabelle.
Le tabelle e i dati correlati che non sono accessibili quando si rimuove Microsoft Sentinel includono ma non sono limitati alle tabelle seguenti:
AlertEvidenceAlertInfoAnomaliesASimAuditEventLogsASimAuthenticationEventLogsASimDhcpEventLogsASimDnsActivityLogsASimFileEventLogsASimNetworkSessionLogsASimProcessEventLogsASimRegistryEventLogsASimUserManagementActivityLogsASimWebSessionLogsAWSCloudTrailAWSCloudWatchAWSGuardDutyAWSVPCFlowCloudAppEventsCommonSecurityLogConfidentialWatchlistDataverseActivityDeviceEventsDeviceFileCertificateInfoDeviceFileEventsDeviceImageLoadEventsDeviceInfoDeviceLogonEventsDeviceNetworkEventsDeviceNetworkInfoDeviceProcessEventsDeviceRegistryEventsDeviceTvmSecureConfigurationAssessmentDeviceTvmSecureConfigurationAssessmentKBDeviceTvmSoftwareInventoryDeviceTvmSoftwareVulnerabilitiesDeviceTvmSoftwareVulnerabilitiesKBDnsEventsDnsInventoryDynamics365ActivityDynamicSummaryEmailAttachmentInfoEmailEventsEmailPostDeliveryEventsEmailUrlInfoGCPAuditLogsGoogleCloudSCCHuntingBookmarkIdentityDirectoryEventsIdentityLogonEventsIdentityQueryEventsLinuxAuditLogMcasShadowItReportingMicrosoftPurviewInformationProtectionNetworkSessionsOfficeActivityPowerAppsActivityPowerAutomateActivityPowerBIActivityPowerPlatformAdminActivityPowerPlatformConnectorActivityPowerPlatformDlpActivityProjectActivitySecurityAlertSecurityEventSecurityIncidentSentinelAuditSentinelHealthThreatIntelIndicatorsUrlClickEventsWatchlistWindowsEvent