مراقبة التهديدات مع مرور الوقت من خلال البث المباشر
يمكنك استخدام البث المباشر للتتبع لاختبار طلبات البحث مقابل الأحداث المباشرة فور حدوثها. يوفر Livestream جلسات عمل تفاعلية يمكنها إعلامك عندما يجد Microsoft Sentinel أحداث مطابقة للاستعلام الخاص بك.
يعتمد البث المباشر دائمًا على استعلام. عادةً ما تستخدم الاستعلام لتضييق أحداث السجل المتدفقة، بحيث تظهر فقط الأحداث المرتبطة بجهود البحث عن التهديدات. يمكنك استخدام البث المباشر إلى:
- اختبار استعلامات جديدة مقابل الأحداث المباشرة.
- إنشاء إعلامات للتهديدات.
- بدء التحقيقات.
تحديث استعلامات Livestream كل 30 ثانية وإنشاء إعلامات Azure من أي نتائج جديدة من الاستعلام.
إنشاء بث مباشر
لإنشاء بث مباشر من صفحة التتبع في Microsoft Sentinel، حدد علامة التبويب Livestream ثم حدد New livestream من شريط الأدوات.
إشعار
تعمل استعلامات Livestream باستمرار ضد البيئة المباشرة الخاصة بك، بحيث لا يمكنك استخدام معلمات الوقت في استعلام livestream.
عرض البث المباشر
في صفحة Livestream الجديدة، حدد اسما لجلسة البث المباشر والاستعلام الذي يوفر نتائج لجلسة العمل. تظهر إعلامات أحداث البث المباشر في إعلامات مدخل Microsoft Azure.
إدارة البث المباشر
يمكنك تشغيل البث المباشر لمراجعة النتائج أو حفظ البث المباشر للرجوع إليها لاحقًا. يمكن عرض جلسات البث المباشر المحفوظة من علامة التبويب Livestream على صفحة التتبع. يمكنك أيضًا ترقية الأحداث من جلسة عمل البث المباشر إلى تنبيه عن طريق تحديد الأحداث ثم تحديد ترقية إلى تنبيه من شريط الأوامر.
يمكنك استخدام البث المباشر لتعقب الأنشطة الأساسية لحذف موارد Azure، وتحديد موارد Azure الأخرى التي يجب تعقبها. على سبيل المثال، يقوم الاستعلام التالي بإرجاع أي أحداث نشاط Azure التي سجلت موردا محذوفا:
AzureActivity
| where OperationName has 'delete'
| where ActivityStatus == 'Accepted'
| extend AccountCustomEntity = Caller
| extend IPCustomEntity = CallerIpAddress
استخدام استعلام البث المباشر لإنشاء قاعدة تحليل
إذا كان الاستعلام يُرجع نتائج هامة، يمكنك تحديد إنشاء قاعدة تحليلية من شريط الأوامر لإنشاء قاعدة تحليلية استنادًا إلى الاستعلام. بعد أن تقوم القاعدة بتحسين الاستعلام لتحديد موارد معينة، يمكن أن تقوم بإنشاء تنبيهات أو أحداث عند حذف الموارد.
اختر أفضل إجابة للسؤال التالي، ثم حدد التحقق من إجاباتك.