إشعار
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تسجيل الدخول أو تغيير الدلائل.
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تغيير الدلائل.
تساعدك الإشارات المرجعية للتتبع في Microsoft Sentinel في الحفاظ على الاستعلامات ونتائج الاستعلام التي تراها ذات صلة. يمكنك أيضًا تسجيل ملاحظاتك السياقية والرجوع إلى النتائج التي توصلت إليها عن طريق إضافة الملاحظات والعلامات. تكون البيانات المرجعية مرئية لك ولزملائك في الفريق لتسهيل التعاون. For more information, see Bookmarks.
Note
يمكن إنشاء الإشارات المرجعية فقط في مدخل Microsoft Azure. بينما لا يمكنك إضافة إشارات مرجعية في مدخل Microsoft Defender، يمكنك مشاهدة الإشارات المرجعية التي تم إنشاؤها بالفعل.
Important
يتوفر Microsoft Sentinel بشكل عام في مدخل Microsoft Defender، بما في ذلك للعملاء الذين ليس لديهم Microsoft Defender XDR أو ترخيص E5.
Starting in July 2026, all customers using Microsoft Sentinel in the Azure portal will be redirected to the Defender portal and will use Microsoft Sentinel in the Defender portal only. Starting in July 2025, many new customers are automatically onboarded and redirected to the Defender portal.
إذا كنت لا تزال تستخدم Microsoft Sentinel في مدخل Microsoft Azure، نوصيك بالبدء في التخطيط للانتقال إلى مدخل Defender لضمان انتقال سلس والاستفادة الكاملة من تجربة عمليات الأمان الموحدة التي يقدمها Microsoft Defender. لمزيد من المعلومات، راجع حان الوقت للنقل: إيقاف مدخل Microsoft Sentinel Azure لمزيد من الأمان.
إضافة إشارة مرجعية (مدخل Microsoft Azure فقط)
إنشاء إشارة مرجعية للحفاظ على الاستعلامات والنتائج والملاحظات والنتائج.
Under Threat management, select Hunting.
From the Queries tab, select one or more of the hunting queries.
من شريط الأوامر العلوي، حدد تشغيل الاستعلامات المحددة.
حدد عرض نتائج الاستعلام. For example:
This action opens the query results in the Logs pane.
من قائمة نتائج استعلام السجل، استخدم مربعات الاختيار لتحديد صف واحد أو أكثر يحتوي على المعلومات التي تجدها ممتعة.
In Azure portal, select Add bookmark:
On the right, in the Add bookmark pane, optionally, update the bookmark name, add tags, and notes to help you identify what was interesting about the item.
يمكن تعيين الإشارات المرجعية اختياريا لتقنيات MITRE ATT&CK أو التقنيات الفرعية. يتم توريث تعيينات MITRE ATT CK من القيم المعينة في استعلامات التتبع، ولكن يمكنك أيضا إنشاؤها يدويا. حدد تكتيك MITRE ATT&CK المرتبط بالتقنية المطلوبة من القائمة المنسدلة في قسم التكتيكات والتقنيات في جزء إضافة إشارة مرجعية . تتوسع القائمة لإظهار جميع تقنيات MITRE ATT&CK، ويمكنك تحديد تقنيات وتقنيات فرعية متعددة في هذه القائمة.
الآن يمكن استخراج مجموعة موسعة من الكيانات من نتائج الاستعلام ذات الإشارة المرجعية لمزيد من التحقيق. In the Entity mapping section, use the drop-downs to select entity types and identifiers. ثم قم بتعيين العمود في نتائج الاستعلام الذي يحتوي على المعرف المقابل. For example:
لعرض الإشارة المرجعية في الرسم البياني للتحقيق، يجب عليك تعيين كيان واحد على الأقل. يتم دعم تعيينات الكيانات لأنواع كيان الحساب والمضيف وعنوان IP وعنوان URL التي أنشأتها، مع الحفاظ على التوافق مع الإصدارات السابقة.
Select Create to commit your changes and add the bookmark. تتم مشاركة جميع البيانات المرجعية مع محللين آخرين، وهي خطوة أولى نحو تجربة تحقيق تعاونية.
تدعم نتائج استعلام السجل الإشارات المرجعية متى تم فتح هذا الجزء من Microsoft Azure Sentinel. For example, if you select General>Logs from the navigation bar, select event links in the investigations graph, or select an alert ID from the full details of an incident. You can't create bookmarks when the Logs pane is opened from another location, such as directly from Azure Monitor.
عرض وتحديث الإشارات المرجعية
ابحث عن إشارة مرجعية وقم بتحديثها من علامة تبويب الإشارة المرجعية.
For Microsoft Sentinel in the Azure portal, under Threat management select Hunting.
For Microsoft Sentinel in the Defender portal, select Microsoft Sentinel>Threat management>Hunting.Select the Bookmarks tab to view the list of bookmarks.
البحث أو التصفية للعثور على إشارة مرجعية أو إشارات مرجعية معينة.
حدد الإشارات المرجعية الفردية لعرض تفاصيل الإشارة المرجعية في الجزء الأيمن.
قم بإجراء التغييرات حسب الحاجة. يتم حفظ التغييرات تلقائيا.
Note
يمكنك فقط عرض ما يصل إلى 1000 إشارة مرجعية في علامة التبويب إشارة مرجعية. يمكنك عرض بقية البيانات التي تم وضع إشارة مرجعية عليها في سجلاتك. Learn more
استكشاف الإشارات المرجعية في الرسم البياني للتحقيق
تصور بياناتك المرجعية من خلال بدء تجربة التحقيق التي يمكنك من خلالها عرض النتائج والتحقيق فيها وإبلاغها بصريا باستخدام رسم تخطيطي تفاعلي للرسم البياني للكيان ومخطط زمني.
From the Bookmarks tab, select the bookmark or bookmarks you want to investigate.
في تفاصيل الإشارة المرجعية، تأكد من تعيين كيان واحد على الأقل.
Select Investigate to view the bookmark in the investigation graph.
للحصول على إرشادات لاستخدام الرسم البياني للتحقيق، راجع استخدام الرسم البياني للتحقيق للتعمق.
إضافة إشارات مرجعية إلى حدث جديد أو موجود (مدخل Microsoft Azure فقط)
Add bookmarks to an incident from the bookmarks tab on the Hunting page.
From the Bookmarks tab, select the bookmark or bookmarks you want to add to an incident.
Select Incident actions from the command bar:
حدد إما Create new incident أو Add to existing incident، حسب الاقتضاء. Then:
- For a new incident: Optionally update the details for the incident, and then select Create.
- For adding a bookmark to an existing incident: Select one incident, and then select Add.
لعرض الإشارة المرجعية داخل الحدث،
- Go to Microsoft Sentinel>Threat management>Incidents.
- حدد الحدث باستخدام الإشارة المرجعية وعرض التفاصيل الكاملة.
- On the incident page, in the left pane, select the Bookmarks.
عرض البيانات المرجعية في السجلات
عرض الاستعلامات أو النتائج أو محفوظاتها التي تم وضع إشارة مرجعية عليها.
From the Hunting>Bookmarks tab, select the bookmark.
من جزء التفاصيل، حدد الارتباطات التالية:
عرض استعلام المصدر لعرض الاستعلام المصدر في جزء السجلات .
عرض سجلات الإشارات المرجعية لمشاهدة جميع بيانات تعريف الإشارة المرجعية، والتي تتضمن من قام بإجراء التحديث والقيم المحدثة ووقت حدوث التحديث.
From the command bar on the Hunting>Bookmarks tab, select Bookmark Logs to view the raw bookmark data for all bookmarks.
تُظهر طريقة العرض هذه جميع إشاراتك المرجعية مع بيانات التعريف المرتبطة بها. يمكنك استخدام استعلامات Kusto Query Language (KQL) للتصفية وصولا إلى أحدث إصدار من الإشارة المرجعية المحددة التي تبحث عنها.
There can be a significant delay (measured in minutes) between the time you create a bookmark and when it's displayed in the Bookmarks tab.
حذف إشارة مرجعية
Deleting the bookmark removes the bookmark from the list in the Bookmark tab. The HuntingBookmark table for your Log Analytics workspace continues to contain previous bookmark entries, but the latest entry changes the SoftDelete value to true, making it easy to filter out old bookmarks. لا يؤدي حذف إشارة مرجعية إلى إزالة أي كيانات من تجربة التحقيق المقترنة بالإشارات المرجعية أو التنبيهات الأخرى.
لحذف إشارة مرجعية، أكمل الخطوات التالية.
From the Hunting>Bookmarks tab, select the bookmark or bookmarks you want to delete.
انقر بزر الماوس الأيمن، وحدد خيار حذف الإشارات المرجعية المحددة.
Related content
في هذه المقالة، تعلمت كيفية إجراء تحقيق صيد باستخدام الإشارات المرجعية في Microsoft Azure Sentinel. راجع المقالات التالية للتعرُّف على المزيد حول Microsoft Azure Sentinel: