Edistyneiden metsästyskyselyjen tulosten käsitteleminen
Koskee seuraavia:
- Microsoft Defender XDR
Tärkeää
Jotkin tämän artikkelin tiedot liittyvät tuotteen ennakkojulkaisuversioon, jota voidaan muuttaa huomattavasti ennen kaupallista julkaisua. Microsoft ei anna mitään takuita tässä annettujen tietojen suhteen.
Vaikka voitkin luoda kehittyneitä metsästyskyselyitä tarkkojen tietojen palauttamiseksi, voit myös käsitellä kyselyn tuloksia saadaksesi lisätietoja ja tutkiaksesi tiettyjä toimintoja ja indikaattoreita. Voit suorittaa seuraavat toiminnot kyselyn tuloksille:
- Näytä tulokset taulukkona tai kaaviona
- Vie taulukot ja kaaviot
- Poraudu alaspäin yksityiskohtaisiin entiteettitietoihin
- Kyselyiden muokkaaminen suoraan tuloksista
Näytä kyselyn tulokset taulukkona tai kaaviona
Oletusarvoisesti kehittynyt metsästys näyttää kyselyn tulokset taulukkomuotoisena tietona. Voit myös näyttää samat tiedot kuin kaavio. Kehittynyt metsästys tukee seuraavia näkymiä:
Näkymän tyyppi | Kuvaus |
---|---|
Pöytä | Näyttää kyselyn tulokset taulukkomuodossa |
Pylväskaavio | Hahmontaa x-akselilla olevien yksilöllisten kohteiden sarjan pystypalkkeiksi, joiden korkeudet edustavat toisen kentän numeerisia arvoja |
Ympyräkaavio | Hahmontaa yksilöllisiä kohteita edustavat osaympyräkaaviot. Kunkin ympyräkaavion koko edustaa toisen kentän numeerisia arvoja. |
Viivakaavio | Piirtää numeeriset arvot sarjalle yksilöllisiä kohteita ja yhdistää piirretyt arvot |
Pistekaavio | Piirtää numeeriset arvot sarjalle yksilöllisiä kohteita |
Aluekaavio | Piirtää numeeriset arvot yksilöllisten kohteiden sarjalle ja täyttää piirtoarvojen alapuolella olevat osat |
Pinottu aluekaavio | Piirtää numeeriset arvot sarjalle yksilöllisiä kohteita ja pinoaa täytetyt osat piirrettyjen arvojen alapuolelle |
Aikakaavio | Piirtää arvot määrän mukaan lineaariseen aika-asteikkoon |
Kyselyjen muodostaminen tehokkaille kaavioille
Kaavioita hahmonnettaessa kehittynyt metsästys tunnistaa automaattisesti kiinnostavat sarakkeet ja koostettavat numeeriset arvot. Jos haluat saada merkityksellisiä kaavioita, muodosta kyselysi siten, että ne palauttavat tietyt arvot, jotka haluat nähdä visualisoituina. Seuraavassa on joitakin esimerkkikyselyitä ja tuloksena saatuja kaavioita.
Hälytykset vakavuuden mukaan
Operaattorin summarize
avulla voit saada kaavioon haluamiesi arvojen numeerisen määrän. Alla olevassa kyselyssä käytetään operaattoria summarize
ilmoitusten määrän saamiseksi vakavuuden mukaan.
AlertInfo
| summarize Total = count() by Severity
Tuloksia hahmonnettaessa pylväskaavio näyttää jokaisen vakavuusarvon erillisenä sarakkeena:
AlertInfo
| summarize Total = count() by Severity
| render columnchart
Tietojenkalastelusähköpostiviestit kymmenen parhaan lähettäjän toimialueilla
Jos käsittelet arvoluetteloa, joka ei ole rajallinen, voit -operaattorin Top
avulla kaaviotaa vain arvot, joilla on eniten esiintymiä. Jos haluat esimerkiksi saada kymmenen parasta lähettäjätoimialuetta, joilla on eniten tietojenkalastelusähköposteja, käytä alla olevaa kyselyä:
EmailEvents
| where ThreatTypes has "Phish"
| summarize Count = count() by SenderFromDomain
| top 10 by Count
Ympyräkaavionäkymän avulla voit tehokkaasti näyttää jakauman ylimmissä toimialueissa:
Tiedostotoiminnot ajan kuluessa
Kun käytät -operaattoria summarize
funktion bin()
kanssa, voit tarkistaa tapahtumat, joihin liittyy tietty ilmaisin ajan kuluessa. Alla oleva kysely laskee tiedoston invoice.doc
tapahtumat 30 minuutin välein, jotta kyseiseen tiedostoon liittyvä toimintopiikki näkyy:
CloudAppEvents
| union DeviceFileEvents
| where FileName == "invoice.doc"
| summarize FileCount = count() by bin(Timestamp, 30m)
Alla olevassa viivakaaviossa korostetaan selvästi ajanjaksoja, joihin liittyy invoice.doc
enemmän toimintoja:
Vie taulukot ja kaaviot
Kun olet suoritettu kyselyn, tallenna tulokset paikalliseen tiedostoon valitsemalla Vie . Valitsemasi näkymä määrittää, miten tulokset viedään:
- Taulukkonäkymä – Kyselyn tulokset viedään taulukkomuodossa Microsoft Excel -työkirjana
- Mikä tahansa kaavio – Kyselytulokset viedään hahmonnetun kaavion JPEG-kuvana
Suodata tulokset
Kun olet suoritettu kyselyn, voit rajata tuloksia valitsemalla Suodatin .
Jos haluat lisätä suodattimen, valitse suodatettavat tiedot valitsemalla yksi tai useampi valintaruutu. Valitse sitten Lisää.
Voit rajata tuloksia vielä enemmän tiettyihin tietoihin valitsemalla juuri lisätyn suodattimen.
Tämä avaa avattavan valikon, joka näyttää mahdolliset suodattimet, joita voit käyttää edelleen. Valitse yksi tai useampi valintaruutu ja valitse sitten Käytä.
Vahvista, että olet lisännyt haluamasi suodattimet, tarkistamalla Suodattimet-osio.
Poraudu alaspäin kyselyn tuloksista
Voit myös tarkastella tuloksia seuraavien ominaisuuksien mukaisesti:
- Laajenna tulos valitsemalla kunkin tuloksen vasemmalla puolella oleva avattavan valikon nuoli
- Laajenna tarvittaessa JSON- ja matriisimuodoissa olevien tulosten tiedot valitsemalla avattavan valikon nuoli soveltuvien sarakkeiden nimien vasemmalla puolella luettavuuden lisäämiseksi
- Avaa sivuruutu, niin näet tietueen tiedot (samanaikaisesti laajennettujen rivien kanssa)
Voit myös napsauttaa hiiren kakkospainikkeella mitä tahansa rivin tulosarvoa niin, että voit sen avulla lisätä suodattimia olemassa olevaan kyselyyn tai kopioida arvon jatkotutkimuksissa käytettäväksi.
Lisäksi JSON- ja matriisikentissä voit napsauttaa hiiren kakkospainikkeella ja päivittää olemassa olevaa kyselyä niin, että se sisältää kentän tai jättää sen pois, tai laajentaa kentän uuteen sarakkeeseen.
Jos haluat tarkistaa nopeasti kyselyn tulosten tietueen, valitse vastaava rivi ja avaa Tarkista tietue -paneeli. Paneeli antaa seuraavat tiedot valitun tietueen perusteella:
- Assets – Yhteenvetonäkymä tietueesta löytyneiden pääasiallisten resurssien (postilaatikot, laitteet ja käyttäjät) kanssa täydennettynä saatavilla tiedoilla, kuten riski- ja altistustasoilla
- Kaikki tiedot – kaikki tietueen sarakkeiden arvot
Jos haluat tarkastella lisätietoja tietystä entiteetistä kyselyn tuloksissa, kuten konetta, tiedostoa, käyttäjää, IP-osoitetta tai URL-osoitetta, valitse entiteetin tunnus avataksesi yksityiskohtaisen profiilisivun kyseiselle entiteetille.
Kyselyiden muokkaaminen tuloksista
Valitse kolme pisteestä minkä tahansa sarakkeen oikealla puolella Tarkista tietue -paneelissa. Voit käyttää asetuksia seuraavasti:
- Etsi valittu arvo eksplisiittisesti (
==
) - Jätä valittu arvo pois kyselystä (
!=
) - Hae kehittyneempiä operaattoreita, joiden avulla voit lisätä arvon kyselyyn, kuten
contains
,starts with
jaends with
Huomautus
Jotkin tämän artikkelin taulukot eivät ehkä ole käytettävissä Microsoft Defender for Endpointissa. Ota Microsoft Defender XDR käyttöön uhkien etsimiseksi käyttämällä enemmän tietolähteitä. Voit siirtää kehittyneet metsästystyönkulut Microsoft Defender for Endpointista Microsoft Defender XDR:ään noudattamalla ohjeita kohdassa Kehittyneiden metsästyskyselyjen siirtäminen Microsoft Defender for Endpointista.
Aiheeseen liittyvät artikkelit
- Tarkennetun etsinnän yleiskatsaus
- Opi kyselyn kieli
- Jaettujen kyselyjen käyttäminen
- Etsi eri laitteista, sähköposteista, sovelluksista ja identiteeteistä
- Rakenteen ymmärtäminen
- Käytä kyselyn parhaita käytäntöjä
- Mukautettujen havaintojen yleiskatsaus
Vihje
Haluatko tietää lisää? Ota yhteyttä Microsoft Security -yhteisöön Tech Community -yhteisössä: Microsoft Defender XDR Tech Community.