Uso del informe de recursos de consulta de búsqueda avanzada

Se aplica a:

• Microsoft Defender XDR

Descripción de las cuotas de búsqueda avanzadas y los parámetros de uso

Para mantener el rendimiento y la capacidad de respuesta del servicio, la búsqueda avanzada establece varias cuotas y parámetros de uso (también conocidos como "límites de servicio"). Estas cuotas y parámetros se aplican por separado a las consultas que se ejecutan manualmente y a las consultas que se ejecutan mediante reglas de detección personalizadas. Los clientes que ejecutan varias consultas con regularidad deben tener en cuenta estos límites y aplicar los procedimientos recomendados de optimización para minimizar las interrupciones.

Consulte la tabla siguiente para comprender las cuotas y los parámetros de uso existentes.

Cuota o parámetro	Size	Ciclo de actualización	Description
Rango de datos:	30 días	Cada consulta	Cada consulta puede buscar datos de hasta los últimos 30 días.
Conjunto de resultados	30 000 filas	Cada consulta	Cada consulta puede devolver hasta 30 000 registros.
Timeout	10 minutos	Cada consulta	Cada consulta se puede ejecutar durante un máximo de 10 minutos. Si no se completa en 10 minutos, el servicio muestra un error.
Recursos de la CPU	En función del tamaño del inquilino	Cada 15 minutos	El portal muestra un error cada vez que se ejecuta una consulta y el inquilino ha consumido más del 10 % de los recursos asignados. Las consultas se bloquean si el inquilino ha alcanzado el 100 % hasta después del siguiente ciclo de 15 minutos.

Nota:

Un conjunto independiente de cuotas y parámetros se aplica a las consultas de búsqueda avanzada realizadas a través de la API. Obtenga información sobre las API de búsqueda avanzadas.

Visualización del informe de recursos de consulta para buscar consultas ineficaces

El informe de recursos de consulta muestra el consumo de recursos de CPU de la organización para la búsqueda en función de las consultas que se ejecutaron en los últimos 30 días mediante cualquiera de las interfaces de búsqueda. Este informe es útil para identificar las consultas que consumen más recursos y comprender cómo evitar la limitación debido a un uso excesivo.

Acceso al informe de recursos de consulta

Se puede acceder al informe de dos maneras:

• En la página búsqueda avanzada, seleccione Informe de recursos de consulta:

  

• En la página Informes , busque la nueva entrada de informe en la sección General .

  

Sin embargo, todos los usuarios pueden acceder a los informes, pero solo el administrador global de Microsoft Entra, Microsoft Entra administrador de seguridad y Microsoft Entra roles de lector de seguridad pueden ver las consultas realizadas por todos los usuarios en todas las interfaces. Cualquier otro usuario solo puede ver lo siguiente:

• Consultas que se ejecutaron a través del portal
• Consultas de API públicas que se ejecutaron por sí mismas y no a través de la aplicación
• Detecciones personalizadas que crearon

Consulta del contenido del informe de recursos

De forma predeterminada, la tabla de informes muestra las consultas del último día y está ordenada por uso de recursos, para ayudarle a identificar fácilmente qué consultas consumieron la mayor cantidad de recursos de CPU.

El informe de recursos de consulta contiene todas las consultas que se ejecutaron, incluida la información de recursos detallada por consulta:

• Hora : cuando se ejecutó la consulta
• Interfaz : si la consulta se ejecutó en el portal, en detecciones personalizadas o a través de la consulta de API
• Usuario o aplicación : el usuario o la aplicación que ejecutó la consulta
• Uso de recursos : un indicador de la cantidad de recursos de CPU que consume una consulta (puede ser Bajo, Medio o Alto, donde Alto significa que la consulta usó una gran cantidad de recursos de CPU y debe mejorarse para ser más eficaz)
• Estado : si la consulta se completó, produjo un error o se limitó
• Tiempo de consulta : cuánto tiempo tardó en ejecutar la consulta
• Intervalo de tiempo : intervalo de tiempo usado en la consulta

Sugerencia

Si el estado de la consulta es Error, puede mantener el puntero sobre el campo para ver el motivo del error de consulta.

Buscar consultas con muchos recursos

Es probable que las consultas con un uso elevado de recursos o un largo tiempo de consulta se puedan optimizar para evitar la limitación a través de esta interfaz.

El gráfico muestra el uso de recursos a lo largo del tiempo por interfaz. Puede identificar fácilmente el uso excesivo y hacer clic en los picos del gráfico para filtrar la tabla en consecuencia. Una vez que seleccione una entrada en el gráfico, la tabla se filtrará a esa fecha específica.

Puede identificar las consultas que usaron la mayoría de los recursos ese día y tomar medidas para mejorarlas; para ello, aplique los procedimientos recomendados de consulta o eduque al usuario que ejecutó la consulta o creó la regla para tener en cuenta la eficacia de las consultas y los recursos. Para el modo guiado, el usuario debe cambiar al modo avanzado para editar la consulta.

El gráfico admite dos vistas:

• Uso medio por día: el uso medio de recursos por día
• Uso más alto al día: el uso real más alto de recursos al día

Esto significa que, por ejemplo, si en un día específico ejecutó dos consultas, una usó el 50 % de los recursos y otra usó el 100 %, el valor medio de uso diario mostraría el 75 %, mientras que el uso diario superior mostraría el 100 %.

Temas relacionados

• Procedimientos recomendados de búsqueda avanzada
• Controlar errores de búsqueda avanzados
• Información general sobre la búsqueda avanzada de amenazas

Sugerencia

¿Desea obtener más información? Engage con la comunidad de seguridad de Microsoft en nuestra comunidad tecnológica: Microsoft Defender XDR Tech Community.