Edistyneiden metsästyskyselyjen tulosten käsitteleminen

Koskee seuraavia:

• Microsoft Defender XDR

Tärkeää

Jotkin tämän artikkelin tiedot liittyvät tuotteen ennakkojulkaisuversioon, jota voidaan muuttaa huomattavasti ennen kaupallista julkaisua. Microsoft ei anna mitään takuita tässä annettujen tietojen suhteen.

Vaikka voitkin luoda kehittyneitä metsästyskyselyitä tarkkojen tietojen palauttamiseksi, voit myös käsitellä kyselyn tuloksia saadaksesi lisätietoja ja tutkiaksesi tiettyjä toimintoja ja indikaattoreita. Voit suorittaa seuraavat toiminnot kyselyn tuloksille:

• Näytä tulokset taulukkona tai kaaviona
• Vie taulukot ja kaaviot
• Poraudu alaspäin yksityiskohtaisiin entiteettitietoihin
• Kyselyiden muokkaaminen suoraan tuloksista

Näytä kyselyn tulokset taulukkona tai kaaviona

Oletusarvoisesti kehittynyt metsästys näyttää kyselyn tulokset taulukkomuotoisena tietona. Voit myös näyttää samat tiedot kuin kaavio. Kehittynyt metsästys tukee seuraavia näkymiä:

Näkymän tyyppi	Kuvaus
Taulukossa	Näyttää kyselyn tulokset taulukkomuodossa
Pylväskaavio	Hahmontaa x-akselilla olevien yksilöllisten kohteiden sarjan pystypalkkeiksi, joiden korkeudet edustavat toisen kentän numeerisia arvoja
Ympyräkaavio	Hahmontaa yksilöllisiä kohteita edustavat osaympyräkaaviot. Kunkin ympyräkaavion koko edustaa toisen kentän numeerisia arvoja.
Viivakaavio	Piirtää numeeriset arvot sarjalle yksilöllisiä kohteita ja yhdistää piirretyt arvot
Pistekaavio	Piirtää numeeriset arvot sarjalle yksilöllisiä kohteita
Aluekaavio	Piirtää numeeriset arvot yksilöllisten kohteiden sarjalle ja täyttää piirtoarvojen alapuolella olevat osat
Pinottu aluekaavio	Piirtää numeeriset arvot sarjalle yksilöllisiä kohteita ja pinoaa täytetyt osat piirrettyjen arvojen alapuolelle
Aikakaavio	Piirtää arvot määrän mukaan lineaariseen aika-asteikkoon

Kyselyjen muodostaminen tehokkaille kaavioille

Kaavioita hahmonnettaessa kehittynyt metsästys tunnistaa automaattisesti kiinnostavat sarakkeet ja koostettavat numeeriset arvot. Jos haluat saada merkityksellisiä kaavioita, muodosta kyselysi siten, että ne palauttavat tietyt arvot, jotka haluat nähdä visualisoituina. Seuraavassa on joitakin esimerkkikyselyitä ja tuloksena saatuja kaavioita.

Hälytykset vakavuuden mukaan

Operaattorin summarize avulla voit saada kaavioon haluamiesi arvojen numeerisen määrän. Alla olevassa kyselyssä käytetään operaattoria summarize ilmoitusten määrän saamiseksi vakavuuden mukaan.

AlertInfo
| summarize Total = count() by Severity

Tuloksia hahmonnettaessa pylväskaavio näyttää jokaisen vakavuusarvon erillisenä sarakkeena:

AlertInfo
| summarize Total = count() by Severity
| render columnchart

Tietojenkalastelusähköpostiviestit kymmenen parhaan lähettäjän toimialueilla

Jos käsittelet arvoluetteloa, joka ei ole rajallinen, voit -operaattorin Top avulla kaaviotaa vain arvot, joilla on eniten esiintymiä. Jos haluat esimerkiksi saada kymmenen parasta lähettäjätoimialuetta, joilla on eniten tietojenkalastelusähköposteja, käytä alla olevaa kyselyä:

EmailEvents
| where ThreatTypes has "Phish"
| summarize Count = count() by SenderFromDomain
| top 10 by Count

Ympyräkaavionäkymän avulla voit tehokkaasti näyttää jakauman ylimmissä toimialueissa:

Tiedostotoiminnot ajan kuluessa

Kun käytät -operaattoria summarize funktion bin() kanssa, voit tarkistaa tapahtumat, joihin liittyy tietty ilmaisin ajan kuluessa. Alla oleva kysely laskee tiedoston invoice.doc tapahtumat 30 minuutin välein, jotta kyseiseen tiedostoon liittyvä toimintopiikki näkyy:

CloudAppEvents
| union DeviceFileEvents
| where FileName == "invoice.doc"
| summarize FileCount = count() by bin(Timestamp, 30m)

Alla olevassa viivakaaviossa korostetaan selvästi ajanjaksoja, joihin liittyy invoice.docenemmän toimintoja:

Vie taulukot ja kaaviot

Kun olet suoritettu kyselyn, tallenna tulokset paikalliseen tiedostoon valitsemalla Vie . Valitsemasi näkymä määrittää, miten tulokset viedään:

• Taulukkonäkymä – Kyselyn tulokset viedään taulukkomuodossa Microsoft Excel -työkirjana
• Mikä tahansa kaavio – Kyselytulokset viedään hahmonnetun kaavion JPEG-kuvana

Poraudu alaspäin kyselyn tuloksista

Voit myös tarkastella tuloksia seuraavien ominaisuuksien mukaisesti:

• Laajenna tulos valitsemalla kunkin tuloksen vasemmalla puolella oleva avattavan valikon nuoli
• Laajenna tarvittaessa JSON- ja matriisimuodoissa olevien tulosten tiedot valitsemalla avattavan valikon nuoli soveltuvien sarakkeiden nimien vasemmalla puolella luettavuuden lisäämiseksi
• Avaa sivuruutu, niin näet tietueen tiedot (samanaikaisesti laajennettujen rivien kanssa)

Voit myös napsauttaa hiiren kakkospainikkeella mitä tahansa rivin tulosarvoa niin, että voit sen avulla lisätä suodattimia olemassa olevaan kyselyyn tai kopioida arvon jatkotutkimuksissa käytettäväksi.

Lisäksi JSON- ja matriisikentissä voit napsauttaa hiiren kakkospainikkeella ja päivittää olemassa olevaa kyselyä niin, että se sisältää kentän tai jättää sen pois, tai laajentaa kentän uuteen sarakkeeseen.

Jos haluat tarkistaa nopeasti kyselyn tulosten tietueen, valitse vastaava rivi ja avaa Tarkista tietue -paneeli. Paneeli antaa seuraavat tiedot valitun tietueen perusteella:

• Assets – Yhteenvetonäkymä tietueesta löytyneiden pääasiallisten resurssien (postilaatikot, laitteet ja käyttäjät) kanssa täydennettynä saatavilla tiedoilla, kuten riski- ja altistustasoilla
• Kaikki tiedot – kaikki tietueen sarakkeiden arvot

Jos haluat tarkastella lisätietoja tietystä entiteetistä kyselyn tuloksissa, kuten konetta, tiedostoa, käyttäjää, IP-osoitetta tai URL-osoitetta, valitse entiteetin tunnus avataksesi yksityiskohtaisen profiilisivun kyseiselle entiteetille.

Kyselyiden muokkaaminen tuloksista

Valitse kolme pisteestä minkä tahansa sarakkeen oikealla puolella Tarkista tietue -paneelissa. Voit käyttää asetuksia seuraavasti:

• Etsi valittu arvo eksplisiittisesti (==)
• Jätä valittu arvo pois kyselystä (!=)
• Hae kehittyneempiä operaattoreita, joiden avulla voit lisätä arvon kyselyyn, kuten contains, starts withja ends with

Huomautus

Jotkin tämän artikkelin taulukot eivät ehkä ole käytettävissä Microsoft Defender for Endpoint. Ota Microsoft Defender XDR käyttöön uhkien etsimiseksi käyttämällä enemmän tietolähteitä. Voit siirtää kehittyneet metsästystyönkulut Microsoft Defender for Endpoint Microsoft Defender XDR noudattamalla kohdassa Kehittyneiden metsästyskyselyjen siirtäminen Microsoft Defender for Endpoint ohjeita.

Aiheeseen liittyvät artikkelit

• Tarkennetun etsinnän yleiskatsaus
• Opi kyselyn kieli
• Jaettujen kyselyjen käyttäminen
• Etsi eri laitteista, sähköposteista, sovelluksista ja identiteeteistä
• Rakenteen ymmärtäminen
• Käytä kyselyn parhaita käytäntöjä
• Mukautettujen havaintojen yleiskatsaus

Vihje

Haluatko tietää lisää? Ota yhteyttä Microsoft Security -yhteisöön Tech Community -yhteisössä: Microsoft Defender XDR Tech Community.