Affiner votre requête en mode guidé
S’applique à :
- Microsoft Defender XDR
Importante
Certaines informations ont trait à un produit préalablement publié, qui peut être modifié de manière significative avant sa publication commerciale. Microsoft n’offre aucune garantie, explicite ou implicite, concernant les informations fournies ici.
Utiliser différents types de données
La chasse avancée en mode guidé prend en charge plusieurs types de données que vous pouvez utiliser pour affiner votre requête.
Nombres
Chaînes
Dans la zone de texte libre, tapez la valeur et appuyez sur Entrée pour l’ajouter. Notez que le délimiteur entre les valeurs est Entrée.
Valeur booléenne
Datetime
Liste fermée : vous n’avez pas besoin de vous souvenir de la valeur exacte que vous recherchez. Vous pouvez facilement choisir parmi une liste fermée suggérée qui prend en charge la sélection multiple.
Utiliser des sous-groupes
Vous pouvez créer des groupes de conditions en cliquant sur Ajouter un sous-groupe :
Utiliser la saisie semi-automatique intelligente pour la recherche
La saisie semi-automatique intelligente pour la recherche d’appareils et de comptes d’utilisateur est prise en charge. Vous n’avez pas besoin de mémoriser l’ID d’appareil, le nom complet de l’appareil ou le nom du compte d’utilisateur. Vous pouvez commencer à taper les premiers caractères de l’appareil ou de l’utilisateur que vous recherchez et une liste suggérée s’affiche à partir de laquelle vous pouvez choisir ce dont vous avez besoin :
Utiliser EventType
Vous pouvez même rechercher des types d’événements spécifiques tels que tous les échecs de connexion, les événements de modification de fichier ou les connexions réseau réussies à l’aide du filtre EventType dans n’importe quelle section où il est applicable.
Par instance, si vous souhaitez ajouter une condition qui recherche des suppressions de valeurs de Registre, vous pouvez accéder à la section Événements du registre et sélectionner EventType.
La sélection de EventType sous Événements du registre vous permet de choisir parmi différents événements de registre, y compris celui que vous recherchez, RegistryValueDeleted.
Remarque
EventType est l’équivalent de dans le schéma de ActionType données, que les utilisateurs du mode avancé peuvent être plus familiarisés.
Tester votre requête avec une taille d’échantillon plus petite
Si vous travaillez toujours sur votre requête et que vous souhaitez voir rapidement ses performances et certains exemples de résultats, ajustez le nombre d’enregistrements à retourner en sélectionnant un jeu plus petit dans le menu déroulant Taille de l’échantillon .
La taille de l’échantillon est définie sur 10 000 résultats par défaut. Il s’agit du nombre maximal d’enregistrements qui peuvent être retournés lors de la chasse. Toutefois, nous vous recommandons vivement de réduire la taille de l’échantillon à 10 ou 100 pour tester rapidement votre requête, car cela consomme moins de ressources pendant que vous travaillez encore à l’amélioration de la requête.
Ensuite, une fois que vous avez finalisé votre requête et que vous êtes prêt à l’utiliser pour obtenir tous les résultats pertinents pour votre activité de chasse, assurez-vous que la taille de l’échantillon est définie sur 10 000, la taille maximale.
Passer en mode avancé après avoir généré une requête
Vous pouvez cliquer sur Modifier dans KQL pour afficher la requête KQL générée par les conditions sélectionnées. La modification dans KQL ouvre un nouvel onglet en mode avancé, avec la requête KQL correspondante :
Dans l’exemple ci-dessus, la vue sélectionnée est Tous. Par conséquent, vous pouvez voir que la requête KQL recherche toutes les tables qui ont des propriétés de fichier de name et SHA256, et dans toutes les colonnes pertinentes couvrant ces propriétés.
Si vous remplacez l’affichage par e-mails & collaboration, la requête est limitée à :
Voir aussi
- Quotas de chasse avancés et paramètres d’utilisation
- Étendre la couverture de chasse avancée avec les paramètres appropriés
Conseil
Voulez-vous en savoir plus ? Engage avec la communauté Microsoft Security dans notre communauté technique : Microsoft Defender XDR Tech Community.