Compartir a través de


Refinar la consulta en modo guiado

Se aplica a:

  • Microsoft Defender XDR

Importante

Parte de la información se refiere a productos preliminares que pueden ser modificados sustancialmente antes de su lanzamiento comercial. Microsoft no otorga garantías, expresas o implícitas, con respecto a la información que aquí se proporciona.

Uso de tipos de datos diferentes

La búsqueda avanzada en modo guiado admite varios tipos de datos que puede usar para ajustar la consulta.

  • Números
    Captura de pantalla de números como tercera condición

  • Cadenas
    Captura de pantalla de cadenas como tercera condición

    En el cuadro de texto libre, escriba el valor y presione Entrar para agregarlo. Tenga en cuenta que el delimitador entre valores es Entrar.

    Captura de pantalla que muestra las diferentes condiciones que puede usar

  • Booleano
    Captura de pantalla de valores booleanos como tercera condición

  • Datetime
    Captura de pantalla de valores datetime como tercera condición

  • Lista cerrada: no es necesario recordar el valor exacto que está buscando. Puede elegir fácilmente entre una lista cerrada sugerida que admita la selección múltiple.
    Captura de pantalla de una lista cerrada usada como tercera condición

Uso de subgrupos

Para crear grupos de condiciones, haga clic en Agregar subgrupo:

Captura de pantalla que resalta el botón Agregar subgrupo

Captura de pantalla que muestra el uso de subgrupos

Se admite la autocompletar inteligente para buscar dispositivos y cuentas de usuario. No es necesario recordar el identificador de dispositivo, el nombre completo del dispositivo o el nombre de la cuenta de usuario. Puede empezar a escribir los primeros caracteres del dispositivo o usuario que está buscando y aparece una lista sugerida desde la que puede elegir lo que necesita:

Captura de pantalla en la que se muestra la compatibilidad con el autocompletar inteligente

Use EventType

Incluso puede buscar tipos de eventos específicos, como todos los inicios de sesión con errores, eventos de modificación de archivos o conexiones de red correctas mediante el filtro EventType en cualquier sección donde sea aplicable.

Por ejemplo, si desea agregar una condición que busque eliminaciones de valores del Registro, puede ir a la sección Eventos del Registro y seleccionar EventType.

Captura de pantalla de varios eventtypes

Seleccionar EventType en Eventos del Registro le permite elegir entre diferentes eventos del Registro, incluido el que está buscando, RegistryValueDeleted.

Captura de pantalla de EventType RegistryValueDeleted

Nota:

EventType es el equivalente de en el esquema de ActionType datos, con el que los usuarios del modo avanzado podrían estar más familiarizados.

Prueba de la consulta con un tamaño de ejemplo más pequeño

Si sigue trabajando en la consulta y desea ver su rendimiento y algunos resultados de ejemplo rápidamente, ajuste el número de registros que se devolverán seleccionando un conjunto más pequeño a través del menú desplegable Tamaño de ejemplo.

Captura de pantalla del menú desplegable tamaño de ejemplo

El tamaño de ejemplo se establece en 10 000 resultados de forma predeterminada. Este es el número máximo de registros que se pueden devolver en la búsqueda. Sin embargo, se recomienda reducir el tamaño de la muestra a 10 o 100 para probar rápidamente la consulta, ya que al hacerlo se consumen menos recursos mientras sigue trabajando para mejorar la consulta.

A continuación, una vez finalizada la consulta y lista para usarla para obtener todos los resultados pertinentes para la actividad de búsqueda, asegúrese de que el tamaño de la muestra está establecido en 10 000, el máximo.

Cambiar al modo avanzado después de compilar una consulta

Puede hacer clic en Editar en KQL para ver la consulta KQL generada por las condiciones seleccionadas. La edición en KQL abre una nueva pestaña en modo avanzado, con la consulta KQL correspondiente:

Captura de pantalla que resalta el botón Editar en KQL

Captura de pantalla que muestra la misma consulta de guiada a avanzada

En el ejemplo anterior, la vista seleccionada es Todo, por lo que puede ver que la consulta KQL busca en todas las tablas que tienen propiedades de archivo de nombre y SHA256, y en todas las columnas pertinentes que cubren estas propiedades.

Si cambia la vista a Correos electrónicos & colaboración, la consulta se reduce a:

Captura de pantalla que muestra la misma consulta de guiada a avanzada, pero con dominio limitado

Consulte también

Sugerencia

¿Desea obtener más información? Engage con la comunidad de seguridad de Microsoft en nuestra comunidad tecnológica: Microsoft Defender XDR Tech Community.