Azure

Log Analytics

Allgemeine Infos

Azure Monitor Logs ist der Protokollteil von Azure Monitor, Log Analytics das Werkzeug zum Abfragen im Portal. Zentrale Ressource ist der Log-Analytics-Workspace: Er enthält Tabellen für Ressourcenprotokolle, Ereignisse von Servern, Anwendungsdaten aus Application Insights und Sicherheitsdaten. Microsoft Sentinel und Defender for Cloud nutzen dieselben Workspaces.

Jede Tabelle hat einen Tabellenplan. Analytics ist für laufendes Monitoring und Alarme gedacht, Abfragen sind inklusive. Basic hat reduzierte Erfassungskosten, Abfragen werden pro gescanntem GB berechnet und nur einfache Alarme sind möglich. Auxiliary (in Sentinel als Data Lake bezeichnet) ist der günstigste Plan für umfangreiche Audit- und Compliance-Logs, Abfragen sind langsamer und kosten pro Scan.

Die interaktive Aufbewahrung beträgt bei Analytics standardmäßig 30 Tage (90 Tage für Sentinel und Application Insights) und lässt sich auf zwei Jahre verlängern. Die Gesamtaufbewahrung inklusive Langzeitspeicher reicht laut Microsoft bis zwölf Jahre. Abgrenzung: Metriken liegen nicht in Log Analytics, sondern in Azure-Monitor-Metriken oder Azure-Monitor-Workspaces.

Funktionsweise & Details

Wie Daten in den Workspace kommen und genutzt werden:

  1. Erfassung über Diagnoseeinstellungen, Azure Monitor Agent mit Datensammlungsregeln, Logs Ingestion API oder Connectoren in Sentinel.
  2. Transformationen filtern Zeilen und Spalten vor der Speicherung. Was nicht gespeichert wird, kostet keine Erfassung.
  3. Pro Tabelle legst Du Tabellenplan und Aufbewahrung fest.
  4. Abfragen in KQL, etwa „SigninLogs | where ResultType != 0 | summarize count() by UserPrincipalName“, oder im Simple Mode ohne KQL.
  5. Ergebnisse speisen Alarmregeln, Workbooks, Dashboards und Power BI.
  6. Summary Rules aggregieren Daten fortlaufend in eigene Tabellen, Search Jobs durchsuchen den Langzeitspeicher asynchron.

Abrechnung: Pay-as-you-go pro GB oder Commitment Tiers ab 100 GB pro Tag (nur Analytics-Tabellen), Dedicated Cluster für mehrere Workspaces. Einige Tabellen wie Heartbeat, AzureActivity oder Usage sind laut Microsoft kostenfrei.

Vorteile & Nutzen

  • KQL erlaubt schnelle Auswertungen über Millionen Datensätze, etwa für Fehlersuche oder Incident Response.
  • Tabellenpläne trennen teure Echtzeitdaten von günstigen Audit-Logs, ohne dass Du Daten an anderer Stelle speichern musst.
  • Ein Workspace kann Betriebs- und Sicherheitsdaten für Azure Monitor, Sentinel und Defender for Cloud bündeln.
  • Zugriff auf Workspace- und Tabellenebene per RBAC ermöglicht getrennte Sichten für Betrieb und Security.
  • Lange Aufbewahrung bis zwölf Jahre deckt Nachweispflichten ab, ohne eigenes Log-Archiv.

Praxisbeispiel

Ein Versorgungsunternehmen mit 600 Mitarbeitenden fällt unter NIS2 und muss Anmelde- und Firewallprotokolle länger aufbewahren. Bisher liefen alle Daten im Analytics-Plan mit 90 Tagen Aufbewahrung, die Kosten stiegen mit jedem neuen Datenstrom. Die IT stellt umfangreiche Firewall- und DNS-Logs auf den Auxiliary-Plan um, behält Anmelde- und Sicherheitsereignisse im Analytics-Plan und setzt die Gesamtaufbewahrung für Audit-Tabellen auf zwei Jahre. Eine Summary Rule verdichtet die Firewalldaten stündlich für ein Workbook, Search Jobs liefern bei Bedarf Details aus dem Langzeitspeicher.

Worauf sollte man achten?

  • Das eingespeiste Datenvolumen bestimmt die Kosten. Prüfe mit der Tabelle Usage, welche Quellen am meisten Daten liefern.
  • Wähle den Tabellenplan bei der Einrichtung bewusst: Basic- und Auxiliary-Tabellen unterstützen nur eingeschränkte Alarme und kosten bei Abfragen.
  • Plane die Workspace-Struktur früh. Sentinel berechnet alle Daten in seinem Workspace, deshalb kann ein separater Workspace für reine Betriebsdaten Kosten sparen.
  • Steuere Zugriffe per RBAC auf Workspace- und Tabellenebene, besonders bei personenbezogenen Daten.
  • Löschen (Purge) senkt keine Aufbewahrungskosten. Verkürze stattdessen die Aufbewahrung der Tabelle.

Lizenz & Verfügbarkeit

Abrechnung über das Azure-Abonnement nach eingespeistem Datenvolumen je Tabellenplan (Analytics, Basic, Auxiliary), Aufbewahrung über den inklusiven Zeitraum hinaus, Abfragen auf Basic- und Auxiliary-Tabellen, Search Jobs und Restore. Commitment Tiers ab 100 GB pro Tag nur für Analytics-Daten. Ältere Tarife (Per Node, Standalone) sind Legacy und unterstützen keine Basic- und Auxiliary-Pläne. Microsoft Sentinel wird zusätzlich berechnet. Stand: Oktober 2026.

Fazit

Log Analytics ist das Protokollgedächtnis Deiner Azure- und Hybridumgebung. Plane Workspace-Struktur, Tabellenpläne und Aufbewahrung gemeinsam, dann bleiben Kosten und Nachweise im Griff.

Weiterführende Links

Verwandte Artikel