Microsoft Sentinel SIEM Log Source Analyzer

Ich musste die Frage "Was bekommen wir eigentlich aus diesen Logs heraus?" oder "Was sind die empfohlenen Logs für Microsoft Sentinel?" öfter beantworten, als ich zählen kann. Die Antwort hängt immer von so vielen Dingen ab, aber wir können generisch sein. Also habe ich dieses Ding hier gebaut.

Log Horizon verbindet sich mit Ihrem Microsoft Sentinel-Arbeitsbereich (und optional Defender XDR), geht jede Log-Tabelle durch, die Sie erfassen, und sagt Ihnen, ob Sie daraus einen Sicherheitswert ziehen oder nur Geld verbrennen. Es klassifiziert Tabellen, bewertet sie gegen Ihre Erkennungsregeln und gibt Ihnen konkrete Empfehlungen mit Kosteneinsparungsschätzungen.

Wichtig: Dies ist ein generischer Ansatz. Wenn Sie wissen, dass eine Log-Quelle für Ihre Umgebung wichtig ist, hat dieser Kontext immer Vorrang vor dem, was dieses Tool Ihnen sagt. Die Klassifizierungen sind ein Ausgangspunkt, kein Evangelium.

Möchten Sie mehr lesen? Ich habe einige Beiträge über Log Horizon auf meinem Blog:

Funktionen

Funktion

Beschreibung

Klassifizierungs-Engine

Wissensdatenbank mit 481 Einträgen, die 240+ Connectors und 22 Kategorien abdeckt, mit Lebenszyklusstatus (veraltet/legacy plus Ersatztabellen) und automatischem heuristischem Fallback für unbekannte Tabellen

Kosten-Wert-Bewertung

Matrix aus Kostenstufe pro Tabelle vs. Erkennungsstufe mit kombinierter Bewertung (Hoher Wert bis Niedriger Wert), bepreist pro beobachtetem Plan (Analytics, Basic, Data Lake)

Empfehlungen

13 priorisierte Aktionstypen: Data-Lake- oder Basic-Kandidaten, Tabellen ohne Erkennung, XDR-Streaming-Verschwendung, Filterung bei der Erfassung, Split-Kandidaten, Plannutzung, veraltete Quellen, Aufbewahrungsdefizite, XDR-Checker- und Detection-Analyzer-Ergebnisse, jeweils mit Kosteneinsparungsschätzungen

Erkennungszuordnung

Ordnet Analyse-Regeln, Hunting-Abfragen und XDR-Erkennungen jeder Tabelle zu, um Abdeckungslücken zu erkennen

Korrelations-Tags

Erkennt #DONT_CORR# / #INC_CORR#-Tags in Regelbeschreibungen und kennzeichnet Regeln, die von der Defender-Korrelation ausgeschlossen sind

Aufbewahrungskonformität

Vergleicht die tatsächliche Aufbewahrung mit empfohlenen Mindestwerten basierend auf Industriestandards und Sicherheits-Best-Practices

SOC-Optimierung

Ruft Microsofts eigene SOC-Verbesserungsempfehlungen aus der Security Insights API ab

Keyword-Lückenanalyse

Kennzeichnet Tabellen, die Sie erfassen sollten, es aber nicht tun, basierend auf Anbieter-/Produkt-Keywords

Transform-Erkennung

Entdeckt Data Collection Rules (DCRs), die auf den Arbeitsbereich abzielen (Abonnementliste gefiltert nach Ziel, der Arbeitsbereichs-Transformations-DCR und Arbeitsbereichs-Zuordnungen), parst Inline- und mehrstufige Transforms und beschriftet jede Operation (Filter, Projektion, Spaltenentfernung, Anreicherung, Aggregation)

Split-Tabellen-Erkennung

Identifiziert _SPLT_CL-Split-Tabellen und verknüpft sie zurück zu den übergeordneten Tabellen in der Klassifizierungs-Engine

Split-KQL-Generator

Generiert portalbereites Split-KQL aus einer kuratierten Wissensdatenbank, Live-Regelanalyse und Community-Feldhäufigkeitsstatistiken -- Nur-Bedingungs-Format, das direkt in den Sentinel-Split-Regeleditor eingefügt werden kann. Feldlisten werden mit dem Live-Schema der Tabelle abgeglichen; alles, was nicht vorhanden ist, wird als verworfen gemeldet

Typ

Wann er ausgelöst wird

Was zu tun ist

Data Lake

Sekundär + hohe Kosten + wenige Erkennungen, und die Tabelle unterstützt den Auxiliary-Plan (fällt auf einen Basic-Plan-Vorschlag zurück, wenn nur Basic unterstützt wird)

In den Auxiliary-/Data-Lake-Tarif verschieben; Einsparungen sind aktuelle Kosten minus dasselbe Volumen zum Lake- (oder Basic-)Satz

Geringer Wert

Hohe Kosten + null Erkennungen

Regeln hinzufügen, filtern oder in den Data Lake verschieben

XDR-Optimierung

XDR-gestreamt + 0 Sentinel-Regeln + XDR-Regeln vorhanden

Streaming stoppen, stattdessen das einheitliche XDR-Portal verwenden

Fehlende Abdeckung

Primär + null Erkennungen (keine Plattformtabellen)

Analyseregeln schreiben, um Wert aus den Daten zu ziehen

Erfassungszeit-Filter

Primär + >20 GB + <=3 Erkennungen

Erfassungszeit-Transformation anwenden, um das Volumen zu reduzieren

Split-Kandidat

Primär + hohes Volumen + Erkennungen + keine vorhandene Transformation

Tabelle aufteilen, sodass hochwertige Zeilen auf Analytics bleiben und der Rest in den Data Lake geht

Plannutzung

Nutzungszeilen zeigen mehr als einen Plan, oder der konfigurierte Plan weicht von dem ab, was die Nutzung beobachtet hat

Prüfen, ob der Plantarifwechsel erwartet war

Veraltete Quelle

Eine in der Datenbank als veraltet oder legacy markierte Tabelle erfasst weiterhin Daten

Erkennungen auf die Ersatztabellen migrieren, dann den alten Connector ausmustern. Nur informativ: Es werden keine Einsparungen beansprucht, da die Erfassung verschoben statt verschwindet

Aufbewahrungsdefizit

Arbeitsbereichs- oder Tabellenaufbewahrung unter der 90-Tage-Baseline

Gesamt-/Archivaufbewahrung erhöhen, um regulatorischen Vorgaben zu entsprechen

Aufbewahrungsverbesserung

Bezahlte, nicht-Plattform-Tabelle erfüllt 90 Tage, liegt aber unter der Kategorieempfehlung

Längere Gesamtaufbewahrung in Betracht ziehen

Interaktiv unter Baseline

Analytics-Tabelle mit interaktiver (Hot-)Aufbewahrung unter 90 Tagen

Interaktive Aufbewahrung auf die 90 Tage erhöhen, die Sentinel enthält, sofern das kurze Hot-Fenster nicht beabsichtigt ist

XDR-Checker

- **Volumen-Perzentil (35 %)**: Wie viele Vorfälle eine Regel im Vergleich zu anderen Regeln erzeugt. - **AutoClose-Perzentil (40 %)**: Wie oft Vorfälle automatisch durch Automatisierungsregeln geschlossen werden (höchste Gewichtung, da automatisches Schließen das stärkste Signal für Alarme mit geringem Wert ist). - **FalsePositive-Perzentil (25 %)**: Wie oft Analysten das Ergebnis als Fehlalarm einstufen. **Score-Schwellenwerte**: | Score | Kennzeichnung | Bedeutung | |---|---|---| | ≥ 70 | Laut | Regel benötigt wahrscheinlich Feintuning oder Deaktivierung | | ≥ 50 | Beobachten | Regel zeigt frühe Anzeichen von Lautstärke | | < 50 | Gesund | Regel liegt im normalen Bereich | | N/A | - | Regel hat keine zugehörigen Vorfälle, oder weniger als 3 Regeln haben Vorfälle, sodass es nichts zum Vergleichen gibt | Vorfälle werden nach der analytischen Regel-ID gruppiert (mit Rückfall auf Regelname, dann Titel), sodass zwei Regeln mit demselben Anzeigenamen separat bewertet werden. Regeln mit einem Score ≥ 70 und mindestens 5 Vorfällen werden automatisch als **Empfehlungen mit hoher Priorität** in der Ansicht „Empfehlungen“ angezeigt. ### 5. Interaktives Dashboard Das Hauptmenü bietet diese Ansichten: - **Dashboard**: Übersichtsstatistiken, Top-10 der teuersten Tabellen (veraltete und Legacy-Quellen tragen ein Abzeichen), Abdeckungsbalken, Aufbewahrungs-Compliance-Zusammenfassung, Hinweis zu Korrelationsausschlüssen - **Empfehlungen anzeigen**: Priorisierte Maßnahmen mit geschätzten monatlichen Einsparungen, erweiterbar zur Anzeige der vollständigen Liste, wenn mehr als 10 vorhanden sind - **Erkennungsbewertung anzeigen**: Kosten-Wert-Matrix-Zusammenfassung, Regel- und Hunting-Abfrageabdeckung pro Tabelle, Primär-/Sekundär-Drilldown, Liste der von Korrelation ausgeschlossenen Regeln - **Erkennungsanalysator anzeigen**: Perzentilbasierte Rangliste lauter Regeln mit Schließungsqualitätsindikatoren (wenn Sie `-IncludeDetectionAnalyzer` verwendet haben), durchsuchbarer Regelbrowser - **SOC-Optimierung anzeigen**: Microsofts eigene Verbesserungsvorschläge mit Drilldown - **Aufbewahrungsbewertung anzeigen**: Tabellen unter den empfohlenen Mindestwerten mit aktueller vs. empfohlener Aufbewahrung, Plantyp und Fehlbetrag, plus XDR-Hinweiszeilen - **Datentransformationen anzeigen**: DCR-Transformationsinventar mit Klassifizierung des Transformationstyps und vollständigem KQL pro Tabelle - **Protokoll-Tuning / Transformationen**: Live-Tuning-Vorschläge, Wissensbasis-Split-KQL und ein Bewerter pro Tabelle mit einer Aufbewahrungs-/Typänderung für eine einzelne Tabelle - **Alle Tabellen anzeigen**: Die vollständige Liste mit Klassifizierung, Plänen, Kosten, Regeln, Aufbewahrung (farbcodiert) und Bewertung; wählen Sie eine Tabelle für ein Detailpanel aus (Abdeckungsquellen, Planunterstützung, Aufbewahrung, Status, deren Empfehlungen) - **Aufbewahrung und Typ von Tabellen verwalten**: Massenaufbewahrungs- und Plan-Assistent mit Vorschau und Anwenden - **Wörterbuch**: Jeder Begriff, den das Tool verwendet (Klassifizierung, Kosten- und Erkennungsstufen, Bewertungen, Abdeckungsquellen, die 13 Empfehlungstypen, Metriken und Score-Kennzeichnungen des Erkennungsanalysators, Tabellenpläne, Lebenszyklusstatus, XDR-Zustände, Transformationstypen) mit denselben Definitionen wie in dieser README, bereitgestellt aus `Data/dictionary.json` - **Bericht exportieren**: Wählen Sie ein Format, dann einen Pfad (Verzeichnis für eine Datei mit Zeitstempel oder einen Dateinamen; Eingabetaste behält das aktuelle Verzeichnis) und schreiben Sie JSON, Markdown oder HTML direkt aus dem Menü - **XDR-Analyse** erscheint auf dem Dashboard, wenn Sie `-IncludeDefenderXDR` verwendet haben --- ## Die Klassifizierungsdatenbank Befindet sich unter `Data/log-classifications.json`. **481 Einträge**, **243 Connectors**, **22 Kategorien**. ### Was in jedem Eintrag enthalten ist | Feld | Was es enthält | |---|---| | `tableName` | Log-Analytics-Tabellenname (`SecurityEvent`, `SigninLogs` usw.) | | `connector` | Welcher Datenconnector diese Tabelle erzeugt | | `classification` | `primary` (Sicherheitswert) oder `secondary` (unterstützende Telemetrie) | | `category` | Sicherheitskategorie: Identität & Zugriff, Netzwerksicherheit usw. | | `description` | Verständliche Zusammenfassung dessen, was in der Tabelle enthalten ist | | `keywords` | Begriffe für den Keyword-Lückenanalyse-Abgleich | | `mitreSources` | MITRE-ATT&CK-Datenquellenzuordnungen | | `recommendedTier` | `analytics` (Hot-Tier) oder `datalake` (Kandidat für Hilfsspeicher) | | `recommendedRetentionDays` | Mindestempfehlung für die gesamte Aufbewahrungsdauer in Tagen (regulatorische Richtlinien) | | `isFree` | Ob Microsoft diese Tabelle kostenlos erfasst (die Laufzeit verwendet zuerst `Usage.IsBillable`) | | `status` | Optional. `deprecated` (Connector eingestellt oder Erfassung gestoppt) oder `legacy` (älterer Erfassungspfad mit dokumentiertem Nachfolger) | | `replacedBy` | Optional. Tabellennamen für die Migration; vorhanden, wann immer `status` gesetzt ist (kann leer sein) | | `xdrStreamable` | Optional, nur Defender-Tabellen. `true` für die 21 Tabellen, die der Defender-XDR-Connector streamt; `false` für Nur-Portal- und TVM-Tabellen | | `platform` | Optional. `true` für Tabellen, die Sentinel selbst verbraucht (`SecurityIncident`, `Usage`, `Watchlist`, ...), die niemals Analyseregeln benötigen | Tabellen mit einem `status` zeigen ein Abzeichen in der TUI und in den Berichten, und alle, die weiterhin Daten erfassen, erzeugen eine `DeprecatedSource`-Empfehlung, die den Ersatz benennt. Tabellen mit `xdrStreamable: false` werden vom XDR-Checker niemals als XDR-Streaming-Kandidaten behandelt. ### Primäre vs. sekundäre Sicherheitsdaten **Primär** (278 Einträge): Die Tabellen, auf denen Sie tatsächlich Erkennungen aufbauen. Anmelde-Protokolle, Sicherheitswarnungen, Bedrohungsdaten, Audit-Trails, Schwachstellenbefunde, Firewall-Treffer, EDR-Telemetrie. **Sekundär** (203 Einträge): Unterstützendes Material. Leistungsmetriken, Infrastrukturdiagnosen, Netzwerkflussvolumina, Inventarschnappschüsse, Konfigurations-Baselines, Health-Checks. ### Kategorien auf einen Blick | Kategorie | Anzahl | Beispiele | |---|---|---| | Identität & Zugriff | 51 | `SigninLogs`, `MicrosoftServicePrincipalSignInLogs`, `OktaSSO` | | Netzwerksicherheit | 49 | `AZFWNetworkRule`, `NSPAccessLogs`, `DarktraceModelAlerts_CL` | | Cloud-Control-Plane | 37 | `AzureActivity`, `AZKVAuditLogs`, `GoogleWorkspaceReports` | | Netzwerkfluss | 36 | `NTANetAnalytics`, `CommonSecurityLog`, `AZFWFatFlow` | | Endpunkterkennung | 33 | `DeviceProcessEvents`, `CrowdStrikeAuditEvents`, `SentinelOneAlertsV2_CL` | | Anwendungsprotokolle | 32 | `AppServiceHTTPLogs`, `AppServiceAuditLogs`, `DynatraceAttacksV2_CL` | | E-Mail-Sicherheit | 29 | `EmailEvents`, `CampaignInfo`, `Ttp_Url_CL` | | Sicherheitswarnungen | 29 | `SecurityAlert`, `SentinelBehaviorInfo`, `DisruptionAndResponseEvents` | | Schwachstellenverwaltung | 23 | `DeviceTvmSoftwareVulnerabilities`, `Rapid7InsightVMCloudVulnerabilities` | | Cloud-Sicherheit | 20 | `EnrichedMicrosoft365AuditLogs`, `OAuthAppInfo`, `PowerAppsActivity` | | Endpunkttelemetrie | 18 | `DeviceInfo`, `Windows365NetworkLogs`, `SentinelOneAgents_CL` | | Posture-Management | 17 | `ExposureGraphNodes`, `SecurityNestedRecommendation`, `ZTSMetadata` | | Datensicherheit | 16 | `PurviewDataSensitivityLogs`, `DataSecurityEvents`, `PowerPlatformDlpActivity` | | Datenplattform | 16 | `SQLSecurityAuditEvents`, `CDBControlPlaneRequests`, `SnowflakeLogin_CL` | | Plattform-Health | 14 | `SentinelHealth`, `Usage`, `SecurityCaseEvent` | | Container & K8s | 13 | `AKSAudit`, `CloudProcessEvents`, `GKEAudit` | | Infrastrukturdiagnose | 13 | `AzureMetrics`, `AGWPerformanceLogs`, `ContainerAppSystemLogs` | | Bedrohungsdaten | 10 | `ThreatIntelIndicators`, `ThreatIntelObjects`, `CybleVisionAlerts_CL` | | Konfigurationsverwaltung | 8 | `ConfigurationData`, `AVNMRuleCollectionChange` | | SAP-Sicherheit | 7 | `ABAPAuditLog`, `SAPBTPAuditLog_CL`, `Onapsis_Defend_CL` | | Speicherzugriff | 6 | `StorageBlobLogs`, `CloudStorageAggregatedEvents`, `AWSS3ServerAccess` | | IoT/OT-Sicherheit | 4 | `RadiflowEvent`, `DragosAlerts_CL`, `Phosphorus_CL` | ### Tabellenplanunterstützung `Data/basic-plan-tables.json` und `Data/auxiliary-plan-tables.json` listen die integrierten Tabellen auf, die die [Azure Monitor-Tabellenfunktionsmatrix](https://learn.microsoft.com/en-us/azure/azure-monitor/reference/tables-features) als Unterstützung der Basic- und Auxiliary- (Data Lake) Pläne kennzeichnet. Der Aufbewahrungs-Assistent verwendet die Basic-Liste zur Validierung von Planwechseln, und die `DataLake`-Empfehlung schlägt die Lake-Stufe nur für Tabellen vor, die diese unterstützen, mit Rückfall auf einen Basic-Plan-Vorschlag, wo dies die niedrigste unterstützte Stufe ist. DCR-basierte benutzerdefinierte Tabellen unterstützen beide Pläne; klassische benutzerdefinierte Tabellen unterstützen keinen von beiden. Beide Dateien werden für jede Version aus dieser Matrix neu generiert. ### Benutzerdefinierte Klassifizierungen Sie können eine eigene Klassifizierungsdatei bereitstellen, um Einträge für Tabellen **hinzuzufügen**, die nicht in der integrierten Datenbank enthalten sind, oder vorhandene Einträge zu **überschreiben**, wenn die Standardwerte nicht zu Ihrer Umgebung passen. Benutzerdefinierte Einträge haben Vorrang vor integrierten, wenn derselbe `tableName` in beiden vorkommt.```powershell Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' ` -CustomClassificationPath './my-classifications.json'

Siehe `Data/custom-classifications-example.json` für eine einsatzbereite Vorlage. ### Wie die Klassifizierungen erstellt wurden Die Primär-/Sekundärbewertung wurde teilweise vom Autor durchgeführt und anschließend durch Einspeisung von Microsofts Datenkonnektor- und Tabellendefinitionen in KI mit einer menschlichen Bewertungsbasis erstellt, wobei Microsoft-Best Practices und Industriestandards als Klassifizierungskriterien dienten. Falls etwas für Ihre Umgebung unpassend erscheint, vertrauen Sie Ihrem eigenen Kontext mehr als dem Tool – KI kann Fehler machen, und Kontext ist entscheidend. Die Klassifizierungskriterien stammen aus den folgenden Quellen: **ACSC (Australian Signals Directorate, Australian Cyber Security Centre)** - [ACSC: Best practices for event logging and threat detection (Aug 2024)](https://www.cyber.gov.au/sites/default/files/2024-08/best-practices-for-event-logging-and-threat-detection.pdf) - [ACSC: Priority logs for SIEM ingestion - Practitioner guidance (May 2025)](https://www.cyber.gov.au/business-government/detecting-responding-to-threats/event-logging/implementing-siem-soar-platforms/priority-logs-for-siem-ingestion-practitioner-guidance) **CISA (Cybersecurity and Infrastructure Security Agency)** - [CISA: Guidance for Implementing M-21-31: Improving the Federal Government's Investigative and Remediation Capabilities](https://www.cisa.gov/sites/default/files/2023-02/TLP%20CLEAR%20-%20Guidance%20for%20Implementing%20M-21-31_Improving%20the%20Federal%20Governments%20Investigative%20and%20Remediation%20Capabilities_.pdf) - [CISA: Microsoft Expanded Cloud Logs Implementation Playbook (2025)](https://www.cisa.gov/sites/default/files/2025-01/microsoft-expanded-cloud-logs-implementation-playbook-508c.pdf) **Microsoft** - [Microsoft Sentinel data connectors reference](https://learn.microsoft.com/en-us/azure/sentinel/data-connectors-reference) - [Microsoft Sentinel tables & connectors reference](https://learn.microsoft.com/en-us/azure/sentinel/sentinel-tables-connectors-reference) - [Azure-Sentinel GitHub repo](https://github.com/Azure/Azure-Sentinel) (Community-Analyseregeln, Konnektordefinitionen, Lösungsvorlagen) - [Microsoft Sentinel billing](https://learn.microsoft.com/azure/sentinel/billing) - [Microsoft Sentinel data tier management](https://learn.microsoft.com/azure/sentinel/manage-data-overview) **MITRE** - [MITRE ATT&CK Data Sources](https://attack.mitre.org/datasources/) **NIST (National Institute of Standards and Technology)** - [NIST SP 800-92: Guide to Computer Security Log Management](https://csrc.nist.gov/pubs/sp/800/92/final) **NSA (National Security Agency)** - NSA Cyber Event Forwarding Guidance **NCSC-UK (National Cyber Security Centre - United Kingdom)** - NCSC-UKs "What exactly should we be logging?" **Google Cloud** - [Google Cloud Audit Logs overview](https://docs.cloud.google.com/logging/docs/audit) - [Google Cloud Audit Logs best practices](https://docs.cloud.google.com/logging/docs/audit/best-practices) Es wurden auch andere Quellen verwendet, zusammen mit der „Expertise" des Autors, falls man sie als solche bezeichnen kann. --- ## Projektstruktur``` LogHorizon.psd1 Module manifest (v0.9.0) LogHorizon.psm1 Module loader Public/ Invoke-LogHorizon.ps1 Entry point, the main orchestrator Set-LogHorizonTableRetention.ps1 Scriptable table retention and plan changes Private/ Connect-Sentinel.ps1 Azure auth + workspace resolution Get-TableUsage.ps1 KQL query for ingestion volumes Get-AnalyticsRules.ps1 Analytics rules + table/field extraction + correlation tags Get-HuntingQueries.ps1 Hunting queries + table extraction Get-DataConnectors.ps1 Data connector inventory Get-DataTransforms.ps1 DCR transform discovery, split KQL generation Get-DefenderXDR.ps1 Defender XDR analysis (optional) Get-Incidents.ps1 Incident fetch + SentinelHealth auto-close attribution Get-AutomationRules.ps1 Automation rule inventory + close-logic attribution Get-SocOptimization.ps1 SOC improvement recommendations Get-TableRetention.ps1 Per-table retention, archive, and plan type Get-CollectionCache.ps1 Collection cache (key, path, read, write) Get-LogHorizonEndpoint.ps1 ARM / Log Analytics / Graph endpoints for the signed-in Azure environment Get-LogHorizonDictionary.ps1 Loads the term dictionary shown by the Dictionary menu Invoke-AzRestWithRetry.ps1 REST wrapper: retry on 429/5xx/transport errors, async operation polling Invoke-Classification.ps1 Static DB + heuristic classification + _SPLT_CL detection + custom file validation Invoke-Analysis.ps1 Cost-value matrix + recommendations + Detection Analyzer + XDR Checker + split suggestions Set-TableRetention.ps1 Retention change set, preview, Tables API apply engine, plan support lookups Write-Report.ps1 Spectre.Console TUI rendering Export-Report.ps1 JSON / Markdown / static HTML export with shared section renderer Data/ log-classifications.json 481-entry classification knowledge base basic-plan-tables.json Built-in tables that support the Basic plan (from the Azure Monitor feature matrix) auxiliary-plan-tables.json Built-in tables that support the Auxiliary / Data Lake plan implicit-consumers.json Non-KQL rule kinds to tables, plus platform tables dictionary.json Term definitions for the Dictionary menu (kept 1:1 with this README, enforced by tests) high-value-fields.json Split KQL knowledge base: 165 tables with curated fields and split hints field-frequency-stats.json Community field frequency stats mined from the Azure-Sentinel rule corpus custom-classifications-example.json Example custom classification override file ReportTemplate.html Static HTML report template (pure-CSS tabs, zero JS, CSP meta) Tests/ LogHorizon.Tests.ps1 437 Pester v5 unit tests

## Lizenz GPL-3.0. Siehe [LICENSE](https://github.com/lnfernux/log-horizon/blob/main/LICENSE). ## Versionshistorie | Version | Datum | Änderungen | |---|---|---| | 0.9.0 | 2026-09-06 | Remediation-Release aus einer vollständigen Code- und Datenprüfung. Korrektheit: planbewusste Preisgestaltung über `Usage.Plan` und `Usage.IsBillable` mit Basic- und Data-Lake-Tarifen sowie Abrechnungs-GB (1000 MB), Detection-Analyzer-Auto-Close-Zuordnung beschränkt auf aktivierte Close/Playbook-Regeln (`triggeringLogic.isEnabled`), Incidents über `2025-09-01` mit `$top=1000`, implizite Abdeckung für Nicht-KQL-Regelarten und Plattformtabellen (`implicit-consumers.json`), interaktiver Aufbewahrungs-Baseline-Check, einzelne Empfehlungssortierung. Transforms: DCR-Erkennung auf Abonnementebene, gefiltert auf den Ziel-Workspace, plus der Workspace-Transformations-DCR und -Zuordnungen, mit sichtbarem Status und Warnung bei fehlender Berechtigung; Workspace- und mehrstufiges Transform-Parsing; Split-KQL überschnitten mit dem Live-Tabellenschema. Robustheit: Sammlungs-Cache standardmäßig aktiviert (`-NoCache`, `-RefreshCache`, `-CacheMaxAgeMinutes`, `-CachePath`), Authentifizierung vor dem Spinner mit danach ausgegebenen Warnungen, maskierte TUI- und Markdown-Ausgabe, Exportpfadauflösung, die Verzeichnisse erstellt und den geschriebenen Pfad zurückgibt, CSP-Meta in HTML, REST-Wiederholungen bei Übertragungsfehlern und Location-artiger asynchroner Abschluss, Workspace-Auflösung über REST (`Az.Resources` entfernt), Validierung benutzerdefinierter Klassifikationen, PascalCase-bewusste Heuristiken mit Microsoft-First-Party-Fallback, Regex-Timeouts. Endpunkte folgen der angemeldeten Azure-Umgebung (Government, China) und API-Versionen wurden auf SecurityInsights `2025-09-01`, OperationalInsights `2025-07-01`, Empfehlungen `2025-10-01-preview` verschoben. Daten: Klassifikationsdatenbank 345 -> 481 Einträge mit `status`/`replacedBy`/`xdrStreamable`/`platform`-Schlüsseln, 80+ First-Party- und 35 Nachfolgetabellen, Korrekturen von Connector-Labels, `isFree`-Korrekturen; `basic-plan-tables.json` neu generiert und neue `auxiliary-plan-tables.json` aus der Azure-Monitor-Tabellen-Feature-Matrix; `DeprecatedSource`-Empfehlung, planbewusste Data-Lake-Empfehlung mit Basic-Fallback, XDR-Checker berücksichtigt Streamability, Lebenszyklus-Badges in TUI und Exporten. Prüfungsdurchlauf: Cache-Schlüssel deckt Preisgestaltung und Modulversion ab, benutzerdefinierte Klassifikations-Booleans und -Stufen werden geparst statt gecastet, schwerwiegendkeitsbewusste Auto-Close-Zuordnung, Split-KQL-Prädikate gegen das Live-Schema geprüft, XDR-Abrufstatus wird angezeigt statt eines stillen `$null`, Ausgabepfade ohne Erweiterung sind Dateien, Incident-Owner-Identitäten werden nicht mehr erfasst. Wörterbuchmenü in der TUI mit jedem vom Tool verwendeten Begriff, unterstützt durch `Data/dictionary.json` und durch Tests am Code verankert. Automatisierungsregel- und Defender-Custom-Detection-Objekte werden auf die verbrauchten Felder projiziert, sodass Autoridentitäten (createdBy, lastModifiedBy, zugewiesene Besitzer) nie den Cache oder die Exporte erreichen. GPL-3.0-Lizenz. 437 Tests | | 0.8.0 | 2026-05-26 | Interaktive Tabellen-Aufbewahrungsverwaltung hinzugefügt mit neuem Bulk-TUI-Flow und Einzeltabellen-Update-Einstiegspunkt, plus dem öffentlichen Befehl `Set-LogHorizonTableRetention`. Tables-API-PATCH-Anwendungsmodul mit Validierung, Azure-Async-Operation-Polling und zweistufigem Fallback (kombiniertes PATCH, dann nur Plan plus nur Aufbewahrung) für robuste Aufbewahrungsupdates hinzugefügt. Fokussierte Pester-Abdeckung für Validierung, Payload-Form, Fallback und öffentliches Befehlsmapping hinzugefügt. Behebt außerdem einen Randfall/Bug, bei dem Benutzer Empfehlungen erhielten, Data-Lake-Tabellen auf die Data-Lake-Stufe umzustellen, obwohl noch Analysedaten in Sentinel vorhanden waren | | 0.7.1 | 2026-05-15 | Planbewusstheit über `Usage.Plan` hinzugefügt, ohne den konfigurierten Tabellenplan zu ersetzen: Die Analyse verfolgt nun die beobachtete Planhistorie, kennzeichnet Multi-Plan-Nutzung und Konfiguriert-vs-Beobachtet-Abweichungen und zeigt Plandaten im Dashboard, Tabellen-Drilldown, View All Tables, Aufbewahrungsbewertung und Exporten an. Detection-Analyzer-Auto-Close-Zuordnung korrigiert, sodass die Timing-Heuristik nur angewendet wird, wenn keine aktivierten Automatisierungsregeln existieren. 203 Tests bestanden | | 0.7.0 | 2026-04-16 | Detection Assessment mit Kosten-Wert-Matrix-Zusammenfassungstabelle aktualisiert (Primär/Sekundär x7 Bewertungskategorien mit Farbcodierung), Drilldown-Untermenü für Primär-/Sekundärtabellen mit Kosten-/Detection-Stufen-Spalten. Detection Analyzer mit GB-gewichteten Volumenabdeckungsbalken aktualisiert (Detection/Hunting/kombinierte GB als Prozentsatz der Gesamtaufnahme neben den vorhandenen Tabellenzahl-Balken). Adaptive Anzeigeverbesserungen für Detection Analyzer (dynamische Balkenbreite, Regelnamenskürzung, bedingtes Ausblenden von Spalten basierend auf Konsolenbreite). 193 Tests bestanden | | 0.6.3 | 2026-04-11 | Kleines Update für PSGallery | | 0.6.2 | 2026-04-11 | Log-Tuning-/Transforms-Menü: Live-Daten-Tuning-Analyse (Feldnutzung pro Tabelle aus bereitgestellten Regeln/Hunting-Abfragen, Filter/Projekt/kombinierte KQL-Generierung, Einsparungsschätzungen), Schema-Spaltenextraktion aus der Tables-API, `Get-SplitKql`-Fallback-Hierarchie (Community-Statistiken → Kategorie-Standardwerte → universelle Felder), umfassender Tabellenbewerter mit Feldnutzungsmatrix, vereinheitlichte KB- + Live-Tuning-Exportabschnitte, `Build-FieldKnowledgeBase.ps1`-Mining-Skript für den Azure-Sentinel-GitHub-Regelkorpus. Detection Analyzer: SentinelHealth-basierte Auto-Close-Zuordnung (primär) mit operatorbewusstem Regelabgleich-Fallback, Boolean-Bedingungs-Wrapper-Parsing, Resolved-Status-Erkennung, GUID-Endabgleich für ARM-Ressourcen-IDs. Abdeckung jetzt tabellenzahlbasiert über alle Tabellen (einschließlich Free-Tier). Bewertungs-Haftungsausschluss zu TUI und Exporten hinzugefügt. 174 Tests | | 0.6.1 | 2026-04-10 | Fehlerbehebungen: `$kqlKeywords`-Filterung jetzt auf Dateiebene gemeinsam genutzt (war in `Get-TablesFromKql` undefiniert), `[CmdletBinding()]` zu allen Hilfsfunktionen hinzugefügt, Defender-vereinheitlichter Check vereinfacht, Geister-`-RuleCount`-Testparameter entfernt. Robustheit: `Get-HuntingQueries`-Paginierung, `Invoke-AzRestWithRetry`-Wiederholungswrapper mit exponentiellem Backoff für 429/5xx, `PricePerGB`-Validierung, `Write-Verbose` in Schlüsselfunktionen. Dokumentation: Versionsbadge, DB-Anzahl, Voraussetzungen mit Manifest abgeglichen | | 0.6.0 | 2026-04-10 | Dynamische XDR-Streaming-Erkennung mit 21 `KnownXDRTables` (vorher hartcodiert 18), `XDRState` pro Tabelle (`NotStreaming`/`Analytics`/`Basic`/`Auxiliary`), Auxiliary als Data-Lake-Stufe erkannt, nicht gestreamte XDR-Tabellen als Information/Low-Empfehlungen mit `NotStreamedCount` angezeigt, Aufbewahrungsanalysator zeigt nicht gestreamte XDR-Tabellen als „XDR only (30d)“, Übersichts-Stufenaufschlüsselung (Analytics/Basic/Data Lake + nicht gestreamt), Export-Report Auxiliary→„data lake“-Labels, Klassifikationsdatenbank auf 345 Einträge aktualisiert (+`DeviceNetworkInfo`, `DeviceInfo`→Sekundär/Data Lake, `DeviceImageLoadEvents` und `IdentityQueryEvents`→Data-Lake-Stufe), 15 neue Pester-Tests (insgesamt 121) | | 0.5.0 | 2026-04-03 | Statischer HTML-Export mit reinen CSS-Tabs (null JS, kein CDN, vollständig eigenständig), vereinheitlichter MD/HTML-Abschnitts-Renderer, vollständige JSON-Datenerfassung (dataTransforms, correlationExcluded/Included, streamingTables), `-NonInteractive`-Schalter für CI/Pipeline-Nutzung, `md`-Format-Alias, datetime-gestempelte automatische Dateinamen, vollständige KQL-Anzeige in DCR-Transforms (keine Kürzung), mehrzeilige KQL-Behandlung in Markdown-Tabellen, korrigierte Regex-`$`-Backreference-Beschädigung beim HTML-Token-Ersetzen, interne Helfer umbenannt, um PowerShell-Alias-Konflikte zu vermeiden (`h`→`hEnc`, `md`→`mdEsc`), 33 neue Pester-Tests (insgesamt 106) | | 0.4.1 | 2026-04-03 | Sicherheits- und Stabilitätskorrekturen – Token-Speicherbereinigung, Ausgabepfadvalidierung und XSS-Schutz, REST-API-Paginierungslimits, Behebung der Modullader-Fehlermaskierung und Auflösung von PSScriptAnalyzer-Warnungen hinzugefügt | | 0.4.0 | 2026-04-02 | Transform-Erkennung (DCR-Auflistung + Transform-Typ-Klassifikation), Split-Tabellen-Erkennung (`_SPLT_CL`), Split-KQL-Helfer mit 15-Tabellen-Wissensbasis (`high-value-fields.json`) + Regelanalyse-Fallback, portalfertige nur-Bedingungs-KQL-Ausgabe, erweiterbare Empfehlungsliste, Split-KQL-Vorschlags-TUI-Menü | | 0.3.0 | 2026-04-02 | Log-Aufbewahrungs-Compliance-Analyse (CISA M-21-31, NIST SP 800-92, NCSC-UK, ASD ACSC, NSA), Korrelations-Tag-Erkennung (`#DONT_CORR#`/`#INC_CORR#`), Aufbewahrungsbewertungs-Menüansicht, Aufbewahrungsspalte in All Tables, `recommendedRetentionDays` im Klassifikationsschema | | 0.2.2 | 2026-04-02 | SOC-Optimierungstabelle blendet Detail-Spalte auf schmalen Konsolen aus | | 0.2.1 | 2026-04-02 | Unterstützung benutzerdefinierter Klassifikation (`-CustomClassificationPath`), angereicherte SOC-Optimierungsempfehlungen mit API-Vorschlägen/Drilldown, nur-aktive-Standardansicht, Unterdrückung der UTF-8-Kodierungswarnung | | 0.2.0 | - | Erste öffentliche Veröffentlichung mit Klassifikationsmodul, Kosten-Wert-Bewertung, Spectre.Console-TUI, Export nach JSON/Markdown | | 0.1.0 | - | Interne Version für die Entwicklung | ## Bekannte Probleme ### PwshSpectreConsole-UTF-8-Kodierungswarnung Um die UTF-8-Ausgabe in Ihrem Terminal zu aktivieren, fügen Sie die folgende Zeile am Anfang Ihrer PowerShell-`$PROFILE`-Datei hinzu und starten Sie das Terminal neu:```powershell $OutputEncoding = [console]::InputEncoding = [console]::OutputEncoding = [System.Text.UTF8Encoding]::new()

Was Sie benötigen	Version
PowerShell	7.0+
Az-Module	`Az.Accounts`
Andere Module	`PwshSpectreConsole` 2.6.3+
Optional	`Microsoft.Graph.Authentication` (für `-IncludeDefenderXDR` als angemeldeter Benutzer)

Parameter	Typ	Erforderlich	Standard	Beschreibung
`-SubscriptionId`	string	Ja	-	Azure-Abonnement-ID
`-ResourceGroup`	string	Ja	-	Ressourcengruppe, die den Sentinel-Arbeitsbereich enthält
`-WorkspaceName`	string	Ja	-	Name des Log-Analytics-Arbeitsbereichs
`-WorkspaceId`	string	Nein	-	Arbeitsbereichs-ID (wird automatisch aufgelöst, wenn ausgelassen)
`-Output`	string	Nein	-	Exportformat: `json`, `markdown` / `md` oder `html` (Alias `-o`)
`-OutputPath`	string	Nein	-	Datei- oder Verzeichnispfad für den Export. Ein vorhandenes Verzeichnis oder ein abschließendes Trennzeichen erhält einen Zeitstempel-Dateinamen; ein Dateiname ohne Erweiterung erhält die Erweiterung des Formats; fehlende Verzeichnisse werden erstellt
`-Keywords`	string[]	Nein	-	Schlüsselwörter für die Gap-Analyse (z. B. `'AWS','CrowdStrike'`, Alias `-kw`)
`-IncludeDefenderXDR`	switch	Nein	-	Defender-XDR-Analyse benutzerdefinierter Erkennungen einbeziehen
`-IncludeDetectionAnalyzer`	switch	Nein	-	Analyse verrauschter Erkennungen pro Regel anhand von Incidents und Automatisierungsregeln einbeziehen
`-DetectionLookbackDays`	int	Nein	90	Abfragefenster für die Erkennungsanalyse auf Incident-/Automatisierungsbasis (1–365 Tage)
`-DaysBack`	int	Nein	90	Abfragefenster für Nutzungsdaten (1–365 Tage)
`-PricePerGB`	decimal	Nein	5.59

Datenquelle	API	Was wir abgreifen
Tabellennutzung	`Usage`-Tabelle (KQL)	Erfassungsvolumen, Plan und abrechenbares Flag pro Tabelle über Ihr Abfragefenster
Analyseregeln	Security Insights REST	Aktive Erkennungsregeln + welche Tabellen sie treffen + Korrelations-Tags, plus implizite Tabellenkonsumenten für Nicht-KQL-Regelarten
Hunting-Abfragen	Log-Analytics-gespeicherte-Suchen-REST	Gespeicherte Hunting-Abfragen + referenzierte Tabellen
Datenconnectors	Security Insights REST	Inventar installierter Connectors
SOC-Optimierung	Security Insights REST (Vorschau)	Integrierte SOC-Empfehlungen von Microsoft
Tabellenaufbewahrung	Log-Analytics-Tabellen-REST	Aufbewahrung, Archiv, Plan (Analytics/Basic/Auxiliary), geerbte Standard-Flags und Schema-Spalten pro Tabelle
Datenerfassungsregeln	Azure Monitor REST	DCRs, die auf den Arbeitsbereich abzielen (Abonnementliste, Arbeitsbereichs-Transformations-DCR, Zuordnungen) und deren Transformationen
Defender XDR	Microsoft Graph	XDR-Regeln für benutzerdefinierte Erkennungen (optional; delegiertes `CustomDetection.Read.All` oder ein Az-Graph-Token)
Incidents	Security Insights REST	Incident-Ergebnisse (Status/Klassifizierung), Zeitablauf und Regelverknüpfungshinweise für die Regelqualitätsbewertung
Automatisierungsregeln	Security Insights REST	Regelbezogene Aktionen zum Schließen von Incidents und Bedingungen für Titelabgleich zur Zuordnung automatischer Schließungen
SentinelHealth	Log Analytics KQL	Ausführungsereignisse von Automatisierungsregeln mit Incident-Nummern für die eindeutige Zuordnung automatischer Schließungen (optional, erfordert Health-Monitoring)

Metrik	Wie sie berechnet wird
Incidents gesamt	Anzahl der mit der Regel verknüpften Incidents
AutoClose-Verhältnis	Incidents, die durch Automatisierungsregeln geschlossen wurden ÷ Gesamt-Incidents. Primärquelle: SentinelHealth-Tabelle (Automatisierungsregel-Ausführungen durch aktivierte Close-Incident- oder Playbook-Regeln, abgeglichen über Incident-Nummer). Fallback: Bedingungsabgleich von Automatisierungsregeln (Analyseregeln-ID, Titel- und Schweregradbedingungen, UND-verknüpft wie bei Sentinel). Regeln, deren Bedingungen nur Status/Taktiken/Entitäten sind, werden so behandelt, als würden sie auf jeden Incident zutreffen.
FalsePositive-Verhältnis	Incidents, die als falsch positiv klassifiziert wurden ÷ Gesamt-Incidents

log-horizon

Beliebteste

Haftungsausschluss

Voraussetzungen

Erste Schritte

Grab the dependencies

Clone and import

Detection Analyzer

Tabellenaufbewahrung und -typ verwalten

Preview a single-table change (prints a Table / Plan / Interactive / Total / Status / Reason table, applies nothing)

Switch tables to Basic and set total retention

Use -1 for inherit/default semantics

RetentionInDays = inherit workspace default

TotalRetentionInDays = remove long-term retention

Sammlungs-Cache

Force a fresh collection and refresh the cache

Never read or write the cache

Accept cached data for up to a day

Alle Parameter

Unter der Haube

1. Datenerfassung

2. Klassifizierung

3. Kosten-Nutzen-Bewertung

4. Erkennungsanalysator (Verrauschtheits-Bewertung)

Wie die Wissensdatenbanken erzeugt werden

Tests

Mitwirken

Gefällt dir das Tool?