Consultas para la tabla lista de reproducción

Obtener alias de lista de reproducción

Obtiene una lista distinta de todos los alias de lista de reproducción de un área de trabajo.

Watchlist
| where _DTItemType == "Watchlist"
| where _DTTimestamp > ago(5d)
| distinct WatchlistAlias

Eventos de búsqueda mediante una lista de reproducción

Eventos de búsqueda en la tabla Heartbeat con datos de una lista de reproducción mediante el tratamiento de la lista de reproducción como una tabla para combinaciones y búsquedas.

Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist')
 on $left.ComputerIP == $right.SearchKey
 | limit 100