El mapa de tablas de Microsoft Sentinel

Microsoft Sentinel guarda lo que recibe en tablas de un espacio de trabajo de Log Analytics, y se consultan con KQL (Kusto Query Language). Un conector de datos decide a qué tabla llega cada fuente. Entre las que más verás: SigninLogs guarda los inicios de sesión interactivos de Microsoft Entra ID, AuditLogs guarda los cambios en el directorio (altas de cuentas, cambios de roles, aplicaciones) y SecurityAlert guarda las alertas.

Saber en qué tabla está el dato es la mitad de una búsqueda: si pides una cosa a la tabla equivocada, la consulta no falla, simplemente vuelve vacía.

La consola trae el inventario de tablas del espacio de trabajo de La Vega: cada una con su origen, el conector que la llena y lo que guarda. Los equipos de red, entre ellos los firewalls, suelen enviar sus eventos en un formato común llamado CEF (Common Event Format), y esos eventos aterrizan en una tabla propia, distinta de la de Linux y de la de Windows.

Prueba catalogo_tablas para ver todo, y luego filtra por el origen de interés con where origen == "firewall perimetral".

Cada tabla tiene un volumen diario, y el volumen importa por dos razones: es lo que más se paga por ingerir y lo que más ruido produce al buscar. Un analista no decide el presupuesto, pero sí debe saber cuál es la tabla grande cuando pregunta «¿qué se puede filtrar antes de guardar?».

volumen_por_tabla trae los gigabytes y los millones de filas por día. Ordenarlo con order by gb_dia desc pone arriba la más pesada.

El jefe del SOC quiere saber cuánto entra por día de los servidores, Windows y Linux juntos, para decidir si una regla de recolección necesita acotarse. Cada fuente va a su propia tabla, así que hay que sumar los gigabytes diarios de las dos tablas que vienen de servidores. Escribe el número sin unidades y sin decimales si el resultado es exacto.