Erstellen von KQL-Aufträgen im Microsoft Sentinel Data Lake

Kusto Query Language (KQL)-Jobs sind einmalige oder geplante KQL-Abfragen auf Daten im Microsoft Sentinel Data Lake und föderierten Tabellen. Föderierte Tabellen sind externe Datenquellen wie Microsoft Entra ID, Microsoft 365 und Microsoft Resource Graph Tabellen, die Sie zusammen mit Data-Lake-Tabellen abfragen können, ohne die Daten in Ihren Arbeitsbereich zu übertragen. Verwenden Sie Aufgaben für Untersuchungs- und Analyseszenarien, z. B.:

Lang laufende einmalige Abfragen zur Untersuchung von Sicherheitsvorfällen und zur Reaktion auf Sicherheitsvorfälle (IR)
Datenaggregationsaufgaben, die Anreicherungsworkflows mit Protokollen mit niedriger Genauigkeit unterstützen
Abgleichsscans für historische TI-Daten (Threat Intelligence) zur retrospektiven Analyse
Anomalieerkennungsscans, die ungewöhnliche Muster in mehreren Tabellen identifizieren

KQL-Aufträge sind besonders effektiv, wenn Abfragen Verknüpfungen oder Gewerkschaften in verschiedenen Datasets verwenden. Bevor Sie beginnen, stellen Sie sicher, dass Sie die Voraussetzungen erfüllen, einschließlich des Onboardings von Data Lake und der erforderlichen Berechtigungen.

Verwenden Sie Aufträge, um Daten von der Data Lake-Ebene auf die Analyseebene heraufzustufen. Wenn Sie sich auf der Analyseebene befinden, verwenden Sie den KQL-Editor für die erweiterte Suche, um die Daten abzufragen. Das Höherstufen von Daten auf die Analyseebene hat die folgenden Vorteile:

Kombinieren Sie aktuelle und verlaufsbezogene Daten auf der Analyseebene oder aus Verbundtabellen, um erweiterte Analyse- und Machine Learning-Modelle für Ihre Daten auszuführen.
Reduzieren Sie die Abfragekosten, indem Sie Abfragen auf der Analyseebene ausführen.
Kombinieren Sie Daten aus mehreren Arbeitsbereichen in einem einzelnen Arbeitsbereich auf der Analyseebene.
Kombinieren Sie Microsoft Entra ID-, Microsoft 365- und Microsoft Resource Graph-Daten auf der Analyseebene, um erweiterte Analysen über Datenquellen hinweg auszuführen.

Hinweis

Speicher auf der Analyseebene verursacht höhere Abrechnungsraten als in der Data Lake-Ebene. Um Kosten zu senken, sollten Sie nur Daten heraufstufen, die Sie weiter analysieren müssen. Verwenden Sie die KQL in Ihrer Abfrage, um nur die benötigten Spalten zu projizieren, und filtern Sie die Daten, um die Datenmenge zu reduzieren, die auf die Analyseebene heraufgestuft wird.

Sie können Daten zu einer neuen Tabelle heraufstufen oder die Ergebnisse an eine vorhandene Tabelle auf der Analyseebene anfügen. Beim Erstellen einer neuen Tabelle wird der Tabellenname mit dem Suffix _KQL_CL versehen, um anzugeben, dass die Tabelle von einem KQL-Auftrag erstellt wurde.

Optional können Sie die Ausgabe eines KQL Jobs in eine andere Tabelle im Daten-Lake Tier schreiben, um die Untersuchung zu beschleunigen oder die angereicherten Daten für die Erkennung von Bedrohungen zu verwenden. Beim Erstellen einer neuen Tabelle wird der Tabellenname mit dem Suffix _KQL versehen, wenn Sie in den Arbeitsbereich "Systemtabellen" schreiben.

Voraussetzungen

Zum Erstellen und Verwalten von KQL-Aufträgen im Microsoft Sentinel Data Lake benötigen Sie die folgenden Voraussetzungen.

In den Data Lake einbinden

Zum Erstellen und Verwalten von KQL-Aufträgen im Microsoft Sentinel Data Lake müssen Sie zuerst das Onboarding in den Data Lake durchführen. Weitere Informationen zum Onboarding in den Data Lake finden Sie unter Onboarding in den Microsoft Sentinel Data Lake.

Berechtigungen

Microsoft Entra ID Rollen bieten umfassenden Zugriff auf alle Arbeitsbereiche im Data Lake. Um Tabellen in allen Arbeitsbereichen zu lesen, auf die Analyseebene zu schreiben und Aufträge mithilfe von KQL-Abfragen zu planen, benötigen Sie eine der unterstützten Microsoft Entra ID Rollen. Weitere Informationen zu Rollen und Berechtigungen finden Sie unter Microsoft Sentinel Data Lake-Rollen und -Berechtigungen.

Um neue benutzerdefinierte Tabellen auf der Analyseebene zu erstellen, weisen Sie der verwalteten Data Lake-Identität die Rolle Log Analytics-Mitwirkender im Log Analytics-Arbeitsbereich zu.

Führen Sie die folgenden Schritte aus, um die Rolle zuzuweisen:

Wechseln Sie im Azure-Portal zum Log Analytics-Arbeitsbereich, dem Sie die Rolle zuweisen möchten.
Wählen Sie im linken Navigationsbereich Zugriffssteuerung (IAM) aus.
Wählen Sie Rollenzuweisung hinzufügen aus.
Wählen Sie in der Tabelle Rolle die Option *Log Analytics-Mitwirkender und dann Weiter aus.
Wählen Sie Verwaltete Identität und dann Mitglieder auswählen aus.
Ihre verwaltete Data Lake-Identität ist eine systemseitig zugewiesene verwaltete Identität namens msg-resources-<guid>. Wählen Sie die verwaltete Identität und dann Auswählen aus.
Wählen Sie Überprüfen und zuweisen aus.

Weitere Informationen zum Zuweisen von Rollen zu verwalteten Identitäten finden Sie unter Zuweisen von Azure Rollen mithilfe des Azure-Portal.

Job erstellen

Sie können Aufträge erstellen, die nach einem Zeitplan oder einmalig ausgeführt werden. Wenn Sie einen Auftrag erstellen, geben Sie den Zielarbeitsbereich und die Tabelle für die Ergebnisse an. Sie können die Ergebnisse in eine neue Tabelle schreiben oder an eine vorhandene Tabelle auf der Analytics- oder Data Lake-Ebene anfügen. Sie können die Ergebnisse nicht in Verbundtabellen schreiben. Sie können einen neuen KQL-Auftrag oder einen Auftrag aus einer Vorlage erstellen, die die Abfrage und die Auftragseinstellungen enthält. Weitere Informationen finden Sie unter Erstellen eines KQL-Auftrags aus einer Vorlage.

Starten Sie den Auftragserstellungsprozess über den KQL-Abfrage-Editor oder über die Seite auftragsverwaltung.
1. Um einen Auftrag über den KQL-Abfrage-Editor zu erstellen, wählen Sie in der oberen rechten Ecke des Abfrage-Editors die Schaltfläche Create job (Auftrag erstellen ) aus.
2. Um einen Auftrag auf der Seite auftragsverwaltung zu erstellen, wählen Sie Microsoft Sentinel>Data lake exploration>Jobs und dann die Schaltfläche Create job (Auftrag erstellen) aus.
Geben Sie einen Auftragsnamen ein. Der Auftragsname muss für den Mandanten eindeutig sein. Auftragsnamen können bis zu 256 Zeichen enthalten. Sie können in einem Auftragsnamen kein # oder - verwenden.
Geben Sie eine Auftragsbeschreibung ein, die den Kontext und den Zweck des Auftrags enthält.
Wählen Sie in der Dropdownliste Arbeitsbereich auswählen den Zielarbeitsbereich aus. Dieser Arbeitsbereich kann entweder Systemtabellen oder ein Sentinel Arbeitsbereich sein, in den Sie die Abfrageergebnisse schreiben möchten.
Wählen Sie die Zieltabelle aus:
1. Wenn Sie an eine vorhandene Tabelle anhängen möchten, wählen Sie Zu einer vorhandenen Tabelle hinzufügen aus und dann den Tabellennamen aus der Dropdown-Liste. Beim Hinzufügen zu einer vorhandenen Tabelle müssen die Abfrageergebnisse mit dem Schema der vorhandenen Tabelle übereinstimmen.
Wählen Sie Weiter aus.
Überprüfen oder schreiben Sie Ihre Abfrage im Bereich "Abfrage vorbereiten ". Überprüfen Sie, ob die Zeitauswahl auf den erforderlichen Zeitbereich für den Auftrag festgelegt ist, wenn der Datumsbereich in der Abfrage nicht angegeben ist.
Wählen Sie in der Dropdownliste Ausgewählte Arbeitsbereiche die Arbeitsbereiche aus, für die die Abfrage ausgeführt werden soll. Diese Arbeitsbereiche sind die Quellarbeitsbereiche, deren Tabellen Sie abfragen möchten. Die von Ihnen ausgewählten Arbeitsbereiche bestimmen die tabellen, die für Abfragen verfügbar sind. Die ausgewählten Arbeitsbereiche gelten für alle Registerkarten im Abfrage-Editor. Bei Verwendung mehrerer Arbeitsbereiche wird der union() Operator standardmäßig auf Tabellen mit demselben Namen und Schema aus verschiedenen Arbeitsbereichen angewendet. Verwenden Sie den workspace() -Operator, um eine Tabelle aus einem bestimmten Arbeitsbereich abzufragen, z. B workspace("MyWorkspace").AuditLogs. .

Hinweis

Wenn Sie in eine vorhandene Tabelle schreiben, muss die Abfrage Ergebnisse mit einem Schema zurückgeben, das dem Zieltabellenschema entspricht. Wenn die Abfrage keine Ergebnisse mit dem richtigen Schema zurückgibt, schlägt der Auftrag bei der Ausführung fehl.

Das Schreiben von KQL-Jobs in Systemtabellen befindet sich aktuell in der Vorschau.
Wählen Sie Weiter aus.

Wählen Sie auf der Seite Abfrageauftrag planen aus, ob Sie den Auftrag einmal oder nach einem Zeitplan ausführen möchten. Wenn Sie Einmal auswählen, wird der Auftrag ausgeführt, sobald die Auftragsdefinition abgeschlossen ist. Wenn Sie Zeitplan auswählen, können Sie ein Datum und eine Uhrzeit für die Ausführung des Auftrags angeben oder den Auftrag nach einem wiederkehrenden Zeitplan ausführen.
Wählen Sie Einmalig oder Geplanter Auftrag aus.

Hinweis

Das Bearbeiten eines einmaligen Auftrags löst sofort seine Ausführung aus.
Wenn Sie Zeitplan ausgewählt haben, geben Sie die folgenden Details ein:
1. Wählen Sie in der Dropdownliste Wiederholungshäufigkeit aus. Sie können nach Minute, Stündlich, Täglich, Wöchentlich oder Monatlich auswählen.
2. Legen Sie den Wert Wiederholen alle dafür fest, wie oft der Auftrag in Bezug auf die ausgewählte Häufigkeit ausgeführt werden soll.
3. Wählen Sie unter Zeitplan festlegen ein Von-Datum aus und geben Sie eine Uhrzeit ein. Die Anfangszeit des Auftrags im Feld Von muss mindestens 30 Minuten nach der Auftragserstellung betragen. Die Aufgabe wird ab diesem Datum und dieser Uhrzeit entsprechend der im Dropdown-Menü Wiederholen alle ausgewählten Häufigkeit ausgeführt.
4. Wählen Sie das Enddatum Bis aus, und geben Sie eine Uhrzeit ein, um anzugeben, wann der Auftragszeitplan endet. Wenn der Zeitplan unbegrenzt fortgesetzt werden soll, wählen Sie Auftrag auf unbestimmte Ausführung festlegen aus.
Die Start- und Endzeiten eines Jobs werden für das Gebietsschema des Nutzers festgelegt.

Hinweis

Wenn Sie einen Auftrag so planen, dass er mit einer hohen Häufigkeit ausgeführt wird, z. B. alle 30 Minuten, müssen Sie die Zeit berücksichtigen, die benötigt wird, bis Daten im Data Lake verfügbar sind. Es gibt in der Regel eine Latenz von bis zu 15 Minuten, bevor neu erfasste Daten für Abfragen verfügbar sind.
Wählen Sie Weiter aus, um die Auftragsdetails zu überprüfen.
Überprüfen Sie die Auftragsdetails, und wählen Sie Senden aus, um den Auftrag zu erstellen. Wenn es sich bei dem Auftrag um einen einmaligen Auftrag handelt, wird er ausgeführt, nachdem Sie Senden ausgewählt haben. Wenn der Auftrag geplant ist, wird er der Liste der Aufträge auf der Seite Aufträge hinzugefügt und gemäß den Startdaten und der Startzeit ausgeführt.
Der Auftrag wird geplant, und die folgende Seite wird angezeigt. Sie können den Auftrag anzeigen, indem Sie den Link auswählen.

Erstellen eines Auftrags aus einer Vorlage

Sie können einen KQL-Auftrag aus einer vordefinierten Auftragsvorlage erstellen. Auftragsvorlagen enthalten die KQL-Abfrage und Auftragseinstellungen, z. B. den Zielarbeitsbereich und die Tabelle, den Zeitplan und die Beschreibung. Sie können eigene Auftragsvorlagen erstellen oder integrierte Vorlagen verwenden, die von Microsoft bereitgestellt werden.

Führen Sie die folgenden Schritte aus, um einen Auftrag aus einer Vorlage zu erstellen:

Wählen Sie auf der Seite Aufträge oder im KQL-Abfrage-Editor die Option Auftrag erstellen und dann Aus Vorlage erstellen aus.
Wählen Sie auf der Seite Auftragsvorlagen in der Liste der verfügbaren Vorlagen die vorlage aus, die Sie verwenden möchten.
Überprüfen Sie die Beschreibung und die KQL-Abfrage in der Vorlage.
Wählen Sie Auftrag aus Vorlage erstellen aus.
Der Assistent zur Erstellung von Jobs öffnet sich mit der Seite Erstellen Sie einen neuen KQL-Job. Die Details des Jobs werden aus der Vorlage vorausgefüllt, mit Ausnahme des Zielarbeitsbereichs.
Wählen Sie den Zielarbeitsbereich aus dem Dropdown-Menü Arbeitsbereich auswählen aus.
Überprüfen und ändern Sie die Auftragsdetails nach Bedarf und wählen Sie dann Weiter, um im Assistenten zur Auftragserstellung fortzufahren.
Die verbleibenden Schritte sind mit denen in "Auftrag erstellen" identisch. Die Felder werden aus der Vorlage vorab aufgefüllt und können bei Bedarf geändert werden.

Die folgenden Vorlagen sind verfügbar:

Vorlagenname	Kategorie
Zunahme an anomalen Anmeldestandorten Analysieren Sie die Trendanalyse von Anmeldeprotokollen für Entra-ID, um ungewöhnliche Standortänderungen für Benutzer anwendungsübergreifend zu erkennen, indem Sie Trendlinien der Standortvielfalt berechnen. Es hebt die drei wichtigsten Konten mit der stärksten Zunahme der Standortvariabilität hervor und listet die zugeordneten Standorte innerhalb von 21-Tage-Fenstern auf. Zieltabelle: UserAppSigninLocationTrend Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Anomales Anmeldeverhalten basierend auf Standortänderungen Identifizieren Sie anormales Anmeldeverhalten basierend auf Standortänderungen für Entra-ID-Benutzer und Apps, um plötzliche Verhaltensänderungen zu erkennen. Zieltabelle: UserAppSigninLocationAnomalies Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Anomalieerkennung
Überwachen seltener Aktivitäten nach App Finden Sie Apps, die seltene Aktionen ausführen (z. B. Einwilligungen, Berechtigungserteilungen), die unbemerkt Berechtigungen schaffen können. Vergleichen Sie den aktuellen Tag mit den letzten 14 Tagen der Audits, um neue Überwachungsaktivitäten zu identifizieren. Nützlich zum Nachverfolgen schädlicher Aktivitäten im Zusammenhang mit Benutzer-/Gruppenzugängen oder -entfernungen durch Azure Apps und automatisierte Genehmigungen. Zieltabelle: AppAuditRareActivity Abfragerückblick: 14 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Selten vorkommende Azure-Vorgänge auf Abonnementebene Identifizieren Sie vertrauliche Azure Ereignisse auf Abonnementebene basierend auf Azure Aktivitätsprotokollen. Beispielsweise die Überwachung basierend auf dem Vorgangsnamen "Momentaufnahme erstellen oder aktualisieren", der zum Erstellen von Sicherungen verwendet wird, aber von Angreifern missbraucht werden kann, um Hashes abzubilden oder vertrauliche Informationen vom Datenträger zu extrahieren. Zieltabelle: AzureSubscriptionSensitiveOps Abfragerückblick: 14 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Täglicher Aktivitätstrend nach App in AuditLogs Identifizieren Sie in den letzten 14 Tagen jeden Vorgang der "Zustimmung zur Anwendung", der von einem Benutzer oder einer App ausgeführt wird. Dies könnte darauf hindeuten, dass berechtigungen für den Zugriff auf die aufgelistete AzureApp für einen böswilligen Akteur bereitgestellt wurden. Zustimmung zur Anwendung, Hinzufügen des Dienstprinzipals und Hinzufügen von Auth2PermissionGrant Ereignissen sollte selten sein. Falls verfügbar, wird anhand der CorrleationId zusätzlicher Kontext aus den AuditLogs desselben Kontos hinzugefügt, das „Zustimmung für die Anwendung“ ausgeführt hat. Zieltabelle: AppAuditActivityBaseline Abfragerückblick: 14 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Baseline
Täglicher Standorttrend pro Benutzer oder App in SignInLogs Erstellen Sie tägliche Trends für alle Benutzeranmeldungen, die Anzahl der Standorte und ihre App-Nutzung. Zieltabelle: UserAppSigninLocationBaseline Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Baseline
Täglicher Netzwerkdatenverkehr pro Ziel-IP-Adresse Erstellen Sie eine Baseline mit Bytes und verschiedenen Peers, um Beaconing und Exfiltration zu erkennen. Zieltabelle: NetworkTrafficDestinationIPDailyBaseline Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Baseline
Täglicher Netzwerkdatenverkehr pro Ziel-IP mit Datenübertragungsstatistiken Identifizieren Sie den internen Host, der das ausgehende Ziel erreicht hat, einschließlich der Volumes, und schätzen Sie den Ausbreitungsradius. Zieltabelle: NetworkTrafficDestinationIPTrend Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Täglicher Netzwerkdatenverkehr pro Quell-IP Erstellen Sie eine Baseline mit Bytes und verschiedenen Peers, um Beaconing und Exfiltration zu erkennen. Zieltabelle: NetworkTrafficSourceIPDailyBaseline Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Baseline
Täglicher Netzwerkdatenverkehr pro Quell-IP mit Datenübertragungsstatistiken Die heutigen Verbindungen und Bytes werden anhand der Day-over-Day-Baseline des Hosts ausgewertet, um zu bestimmen, ob die beobachteten Verhaltensweisen erheblich vom etablierten Muster abweichen. Zieltabelle: NetworkTrafficSourceIPTrend Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Trend zum täglichen Anmeldestandort pro Benutzer und App Erstellen Sie eine Anmeldebaseline für jeden Benutzer oder jede Anwendung mit typischer geografischer Und IP-Adresse, um eine effiziente und kostengünstige Anomalieerkennung im großen Stil zu ermöglichen. Zieltabelle: UserAppSigninLocationDailyBaseline Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Baseline
Täglicher Prozessausführungstrend Identifizieren Sie neue Prozesse und Prävalenz, um die Erkennung von "neuen seltenen Prozessen" zu vereinfachen. Zieltabelle: EndpointProcessExecutionBaseline Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Baseline
Entra ID - seltener Benutzer Agent pro App Erstellen Sie eine Baseline des Typs UserAgent (d. h. Browser, Office-Anwendung usw.), der normalerweise für eine bestimmte Anwendung verwendet wird, indem Sie mehrere Tage zurückschauen. Anschließend wird der aktuelle Tag nach Abweichungen von diesem Muster durchsucht, d. h. nach Typen von UserAgents, die zuvor in Kombination mit dieser Anwendung noch nicht gesehen wurden. Zieltabelle: UserAppRareUserAgentAnomalies Abfragerückblick: 7 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Anomalieerkennung
IOC-Abgleich von Netzwerkprotokollen Identifizieren Sie alle IP-Gefährdungsindikatoren (IOCs) aus Threat Intelligence (TI), indem Sie in CommonSecurityLog nach Übereinstimmungen suchen. Zieltabelle: NetworkLogIOCMatches Abfragerückblick: 1 Stunde Zeitplan: stündlich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Neue Prozesse in den letzten 24 Stunden beobachtet Neue Prozesse in stabilen Umgebungen können auf schädliche Aktivitäten hinweisen. Die Analyse von Anmeldesitzungen, in denen diese Binärdateien ausgeführt wurden, kann helfen, Angriffe zu identifizieren. Zieltabelle: EndpointNewProcessExecutions Abfragerückblick: 14 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
SharePoint-Dateivorgang über zuvor nicht angezeigte IP-Adressen Identifizieren Sie Anomalien mithilfe des Benutzerverhaltens, indem Sie einen Schwellenwert für wesentliche Änderungen an Dateiupload-/Downloadaktivitäten von neuen IP-Adressen festlegen. Es erstellt eine Baseline für typisches Verhalten, vergleicht es mit der aktuellen Aktivität und kennzeichnet Abweichungen, die einen Standardschwellenwert von 25 überschreiten. Zieltabelle: SharePointFileOpsNewIPs Abfragerückblick: 14 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Palo Alto Network - potentielles Beaconing Identifizieren Sie Beaconing-Muster aus den Datenverkehrsprotokollen von Palo Alto Network auf der Grundlage von wiederkehrenden Zeit-Delta-Mustern. Die Abfrage verwendet verschiedene KQL-Funktionen zur Berechnung von Zeitdeltas und vergleicht diese dann mit der Gesamtzahl der in einem Tag beobachteten Ereignisse, um den Prozentsatz des Beacings zu ermitteln. Zieltabelle: PaloAltoNetworkBeaconingTrend Abfragerückblick: 1 Tag Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Jagd
Verdächtige Windows-Anmeldung außerhalb der normalen Zeiten Identifizieren Sie ungewöhnliche Windows-Anmeldeereignisse außerhalb der normalen Stunden eines Benutzers, indem Sie mit der Anmeldeaktivität der letzten 14 Tage vergleichen und Anomalien basierend auf verlaufsbezogenen Mustern kennzeichnen. Zieltabelle: WindowsLoginOffHoursAnomalies Abfragerückblick: 14 Tage Zeitplan: täglich Startdatum: Aktuelles Datum + 1 Stunde	Anomalieerkennung

Überlegungen und Einschränkungen

Beachten Sie beim Erstellen von Aufträgen im Microsoft Sentinel Data Lake die folgenden Einschränkungen und bewährten Methoden:

Wählen Sie eine Datenebene für die KQL-Auftragsausgabe aus.

KQL-Jobs können Daten je nach Ebene der Zieltabelle entweder in die Analytics-Ebene oder in die Data Lake-Ebene schreiben. Beim Erstellen einer neuen Tabelle über den Auftragserstellungs-Assistenten können Sie Systemtabellen als Zielarbeitsbereich auswählen, um Daten direkt in den Data Lake zu schreiben. Auf diese Weise erstellte Tabellen werden direkt auf der Data Lake-Ebene erstellt und gespeichert und automatisch mit dem Suffix _KQL versehen.

KQL-Überlegungen für Data-Lake-Aufträge

Die folgenden KQL-Einschränkungen gelten für Data Lake-Aufträge:

Mit Ausnahme der folgenden Werden alle KQL-Operatoren und -Funktionen unterstützt:
- adx()
- arg()
- externaldata()
- ingestion_time()
Wenn Sie den stored_query_results Befehl verwenden, geben Sie den Zeitbereich in der KQL-Abfrage an. Die Zeitauswahl über dem Abfrage-Editor funktioniert nicht mit diesem Befehl.
Benutzerdefinierte Funktionen werden nicht unterstützt.

Beschränkungen bei Jobbenennung und -planung

Die folgenden Benennungs- und Planungsbeschränkungen gelten für KQL-Aufträge:

Auftragsnamen müssen für den Mandanten eindeutig sein.
Auftragsnamen können bis zu 256 Zeichen umfassen.
Auftragsnamen dürfen kein # oder - enthalten.
Die Startzeit des Auftrags muss mindestens 30 Minuten nach der Erstellung oder Bearbeitung des Auftrags liegen.

Löschung von Quellarbeitsflächen

Wenn ein Quellarbeitsbereich, auf den ein geplanter KQL-Job referenziert wird, gelöscht wird, kann der Job bei jeder geplanten Ausführung weiterlaufen und scheitern, bis der Zeitplan abläuft oder der Job geändert wird. Um wiederholte Ausfälle und unnötigen Ressourcenverbrauch zu verhindern, werden Jobs, die auf gelöschte Quellarbeitsbereiche verweisen, automatisch in einen Zustand "Deaktiviert " versetzt und erfordern eine Aktion des Benutzers, bevor sie fortgesetzt werden können.

Data Lake-Datenaufnahmelatenz

Die Data Lake-Ebene speichert Daten im kalten Speicher. Im Gegensatz zu heißen oder nahezu in Echtzeit arbeitenden Analyseebenen ist der Kaltspeicher für die langfristige Aufbewahrung und Kosteneffizienz optimiert und bietet keinen sofortigen Zugriff auf neu aufgenommene Daten. Wenn vorhandenen Tabellen im Data Lake oder in Verbundtabellen neue Zeilen hinzugefügt werden, besteht eine typische Latenz von bis zu 15 Minuten, bevor die Daten für Abfragen verfügbar sind. Berücksichtigen Sie die Erfassungslatenz, wenn Sie Abfragen ausführen und KQL-Aufträge planen, indem Sie sicherstellen, dass Lookbackfenster und Auftragszeitpläne so konfiguriert sind, dass noch nicht verfügbare Daten vermieden werden.

Um das Abfragen von Daten zu vermeiden, die möglicherweise noch nicht verfügbar sind, fügen Sie einen Delay-Parameter in Ihre KQL-Abfragen oder -Aufträge ein. Wenn Sie beispielsweise automatisierte Aufträge planen, legen Sie die Endzeit der Abfrage auf fest now() - delay, wobei delay der typischen Datenbereitschaftslatenz von 15 Minuten entspricht. Mit diesem Ansatz wird sichergestellt, dass nur Daten abgefragt werden, die vollständig erfasst wurden und für die Analyse bereit sind.

Die folgende KQL-Abfrage erkennt Ereignisse innerhalb eines 15-minütigen Rückblickfensters und berücksichtigt dabei die Eingabeverzögerung. Die Variable lookback steuert den Abfragezeitbereich, und die Variable delay verschiebt das Fenster, um sicherzustellen, dass nur vollständig aufgenommene Daten abgefragt werden.

let lookback = 15m;
let delay = 15m;
let endTime = now() - delay;
let startTime = endTime - lookback;
CommonSecurityLog
| where TimeGenerated between (startTime .. endTime)

Dieser Ansatz ist für Aufträge mit kurzen Lookbackfenstern oder häufigen Ausführungsintervallen effektiv.

Erwägen Sie, den Lookback-Zeitraum mit der Ausführungshäufigkeit des Auftrags zu überlappen, um das Risiko zu verringern, dass verspätet eintreffende Daten übersehen werden.

Weitere Informationen finden Sie unter Behandeln von Erfassungsverzögerungen in Regeln für geplante Analysen.

Spaltennamen

Spaltennamen müssen mit einem Buchstaben beginnen.

Die folgenden Standardspalten werden für den Export nicht unterstützt. Der Aufnahmeprozess überschreibt diese Spalten in der Zielschicht:

TenantId
_TimeReceived
Typ
SourceSystem
_ResourceId
_Subscriptionid
_ItemId
_BilledSize
_IsBillable
_WorkspaceId
TimeGenerated wird überschrieben, wenn es älter als zwei Tage ist. Um die ursprüngliche Ereigniszeit beizubehalten, schreiben Sie den Quellzeitstempel in eine separate Spalte.

Informationen zu Dienstgrenzwerten finden Sie unter Microsoft Sentinel Data Lake-Dienstgrenzwerte.

Hinweis

Teilergebnisse können vorgezogen werden, wenn die Abfrage des Jobs das Zeitlimit von einer Stunde überschreitet.

Dienstparameter und Grenzwerte für KQL-Aufträge

In der folgenden Tabelle sind die Dienstparameter und Grenzwerte für KQL-Aufträge im Microsoft Sentinel Data Lake aufgeführt.

Hinweis

Alle Grenzwerte in dieser Tabelle gelten pro Mandant. Es gibt keine Benutzerbeschränkung. KQL-Aufträge verfügen über ein eigenes Parallelitätskontingent und teilen keine Zähler mit KQL-Abfragen.

Wenn der Grenzwert für die gleichzeitige Auftragsausführung überschritten wird, wird die Anforderung abgelehnt und nicht in die Warteschlange gestellt. Der Zähler wird dekrementiert, sobald ein ausgeführter Auftrag abgeschlossen ist.

Kategorie	Parameter/Grenzwert
Gleichzeitige Auftragsausführung pro Mandant	5
Zeitüberschreitung für die Ausführung von Auftragsabfragen	1 Stunde
Aufträge pro Mandant (aktivierte Aufträge)	100
Anzahl der Ausgabetabellen pro Job	1
Abfragebereich	Mehrere Arbeitsbereiche
Abfragezeitbereich	Bis zu 12 Jahre

Tipps zur Problembehandlung und Fehlermeldungen finden Sie unter Problembehandlung bei KQL-Abfragen für den Microsoft Sentinel Data Lake.

Feedback

War diese Seite hilfreich?

Last updated on 2026-08-14

Erstellen von KQL-Aufträgen im Microsoft Sentinel Data Lake

Voraussetzungen

In den Data Lake einbinden

Berechtigungen

Job erstellen

Erstellen eines Auftrags aus einer Vorlage

Überlegungen und Einschränkungen

Wählen Sie eine Datenebene für die KQL-Auftragsausgabe aus.

KQL-Überlegungen für Data-Lake-Aufträge

Beschränkungen bei Jobbenennung und -planung

Löschung von Quellarbeitsflächen

Data Lake-Datenaufnahmelatenz

Spaltennamen

Dienstparameter und Grenzwerte für KQL-Aufträge

Verwandte Inhalte

Feedback

Zusätzliche Ressourcen