Azure Sentinel Analytics Rule 14天回溯上限能否提升？有何变通方案？

14天回溯上限的可调整性说明 #

目前Log Analytics（含Microsoft Sentinel环境下的Scheduled类型分析规则）的14天回溯周期为产品层面的硬限制，无官方公开支持的配置开关、API参数可直接将上限调整至30天。该限制为保障规则查询性能设置，目的是避免跨过长时间范围的全量日志扫描拖慢规则执行效率。不存在可直接提升该上限的合规操作路径，通过非官方接口修改参数绕过限制的操作，极易触发性能异常、规则执行失效等问题，不建议采用。

可落地的变通方案 #

• 预聚合数据前置存储方案
  不要在分析规则的查询逻辑中直接拉取30天范围的原始日志。先创建独立的定时Kusto任务（可通过Log Analytics导出、Sentinel自动化Runbook实现），按固定频率（如每1小时）运行30天范围的关联计算逻辑，将计算得到的待匹配候选事件写入一个自定义日志表，将该自定义表的日志保留期手动设置为30天以上。
  编写分析规则时，规则自身的回溯周期设置为最大14天即可，在规则的KQL查询中显式为自定义表指定30天的时间查询范围。该逻辑可生效的核心原因是：分析规则的自动时间筛选仅会在查询未显式指定时间范围时生效，查询内显式定义的时间范围会优先覆盖自动筛选规则，即可拿到全量30天的关联数据。

  注意：预存的自定义表需保留统一格式的TimeGenerated时间字段，确保KQL关联时的时间筛选逻辑可正常生效，避免出现匹配偏差。

• 历史特征提前抽取方案
  如果原始日志所在的Log Analytics工作空间本身的日志保留期已配置为≥30天，可通过每日定时运行的查询，将所有具备潜在匹配特征的历史事件（如符合特定关键字、主体账号、资源类型特征的日志）提前抽取到独立的专用日志表。分析规则运行时，仅需在14天的回溯范围内查询原始日志的新增事件，关联匹配时直接引用专用表中存储的30天历史特征数据，即可完成跨30天的匹配判断，不会遗漏潜在结果。
• 适配长周期专用规则类型
  如果运行环境为Microsoft Sentinel，可将30天关联的匹配逻辑迁移至Fusion规则、机器学习驱动的异常检测规则实现。这类规则不受Scheduled类型分析规则的14天回溯上限约束，本身原生支持最长30天甚至更长时间范围的跨日志关联计算，可通过自定义规则的检测逻辑覆盖你的匹配需求。

内容的提问来源于stack exchange，提问作者maced