Azure Sentinel存储连接器日志监控范围咨询：从Log Analytics工作区发送至Azure存储账户的日志是否可被监控

首先直接给结论：Azure Sentinel的存储连接器默认不会监控从Log Analytics工作区导出到Azure存储账户的日志内容，它只针对存储账户自身生成的日志和指标。

下面详细拆解：

• 默认监控对象：
  存储连接器的核心作用是采集Azure存储账户自身产生的诊断日志（比如Blob存储的访问日志、队列存储的操作日志）以及存储账户的性能指标。这些日志记录的是存储账户本身的活动——比如谁访问了存储、执行了什么操作、存储的读写性能数据等，和你从Log Analytics导出的业务/系统日志完全是两回事。

• 关于从LA导出到存储的日志：
  如果你把Log Analytics里的日志（比如VM的系统日志、应用程序日志等）导出到存储账户，这些文件对存储连接器来说只是普通的Blob文件，不会被自动识别为可监控的日志源。

  如果确实需要让Sentinel监控这些导出的日志，有两种思路：

  1. 其实Sentinel本身就和你的Log Analytics工作区深度集成——如果这些日志已经在Sentinel关联的LA工作区里，你完全可以直接在Sentinel中查询、分析这些日志，没必要绕一圈导出到存储再监控；
  2. 如果你必须从存储中导入这些日志，可以把它们配置为自定义日志源：通过存储连接器指向存储中存放这些日志的容器，按照自定义日志的格式要求（比如JSON、CSV等）配置解析规则，之后这些日志就会被导入到Sentinel的LA工作区，你就能用Sentinel的规则、仪表盘来监控它们了。

内容的提问来源于stack exchange，提问作者kay