Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Wyszukiwanie zakładek w Microsoft Sentinel ułatwia zachowanie zapytań i wyników zapytań, które uważasz za istotne. Możesz również rejestrować obserwacje kontekstowe i odwoływać się do wyników, dodając notatki i tagi. Dane z zakładkami są widoczne dla Ciebie i Twoich kolegów z drużyny, aby ułatwić współpracę. Aby uzyskać więcej informacji, zobacz Zakładki.
Uwaga
Zakładki można tworzyć tylko w Azure Portal. Chociaż nie możesz dodawać zakładek w portalu Microsoft Defender, możesz zobaczyć zakładki, które zostały już utworzone.
Ważna
Po 31 marca 2027 r. Microsoft Sentinel nie będą już obsługiwane w Azure Portal i będą dostępne tylko w portalu Microsoft Defender. Wszyscy klienci korzystający z Microsoft Sentinel w Azure Portal zostaną przekierowane do portalu usługi Defender i będą używać Microsoft Sentinel tylko w portalu usługi Defender.
Jeśli nadal używasz Microsoft Sentinel w Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia płynnego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez Microsoft Defender.
Dodawanie zakładki (tylko Azure Portal)
Utwórz zakładkę, aby zachować zapytania, wyniki, obserwacje i wyniki.
W obszarze Zarządzanie zagrożeniami wybierz pozycję Wyszukiwanie zagrożeń.
Na karcie Zapytania wybierz co najmniej jedno z zapytań wyszukiwania zagrożeń.
Na górnym pasku poleceń wybierz pozycję Uruchom wybrane zapytania.
Wybierz pozycję Wyświetl wyniki zapytania. Przykład:
Ta akcja spowoduje otwarcie wyników zapytania w okienku Dzienniki .
Z listy wyników zapytania dziennika użyj pól wyboru, aby wybrać co najmniej jeden wiersz zawierający interesujące informacje.
W Azure Portal wybierz pozycję Dodaj zakładkę:
Po prawej stronie w okienku Dodaj zakładkę opcjonalnie zaktualizuj nazwę zakładki, dodaj tagi i notatki, aby ułatwić zidentyfikowanie interesujących elementów.
Zakładki można opcjonalnie zamapować na mitre att&technik CK lub technik podrzędnych. Mapowania&CK programu MITRE ATT są dziedziczone z mapowanych wartości w zapytaniach wyszukiwania zagrożeń, ale można je również utworzyć ręcznie. Wybierz taktykę CK&MITRE ATT skojarzoną z odpowiednią techniką z menu rozwijanego w sekcji Taktyka & Techniki w okienku Dodaj zakładkę . Menu zostanie rozwinięte, aby wyświetlić wszystkie techniki MITRE ATT&CK, a w tym menu można wybrać wiele technik i technik podrzędnych.
Teraz rozszerzony zestaw jednostek można wyodrębnić z wyników zapytania z zakładki w celu dalszego zbadania. W sekcji Mapowanie jednostek użyj list rozwijanych, aby wybrać typy i identyfikatory jednostek. Następnie zamapuj kolumnę w wynikach zapytania zawierającą odpowiedni identyfikator. Przykład:
Aby wyświetlić zakładkę na grafie badania, musisz zamapować co najmniej jedną jednostkę. Mapowania jednostek na utworzone typy jednostek konta, hosta, adresu IP i adresu URL są obsługiwane, zachowując zgodność z poprzednimi wersjami.
Wybierz pozycję Utwórz , aby zatwierdzić zmiany i dodać zakładkę. Wszystkie dane z zakładkami są udostępniane innym analitykom i są pierwszym krokiem w kierunku wspólnego badania.
Wyniki zapytania dziennika obsługują zakładki za każdym razem, gdy to okienko jest otwierane z Microsoft Sentinel. Jeśli na przykładwybierzesz pozycję Dziennikiogólne> na pasku nawigacyjnym, wybierz linki zdarzeń na grafie badań lub wybierz identyfikator alertu z pełnych szczegółów zdarzenia. Nie można tworzyć zakładek po otwarciu okienka Dzienniki z innej lokalizacji, na przykład bezpośrednio z Azure Monitor.
Wyświetlanie i aktualizowanie zakładek
Znajdź i zaktualizuj zakładkę na karcie zakładki.
W Microsoft Sentinel w Azure Portal w obszarze Zarządzanie zagrożeniami wybierz pozycję Wyszukiwanie zagrożeń.
W Microsoft Sentinel w portalu usługi Defender wybierz pozycję Microsoft Sentinel>Zarządzanie wyszukiwaniem>zagrożeń.Wybierz kartę Zakładki , aby wyświetlić listę zakładek.
Wyszukaj lub przefiltruj, aby znaleźć określoną zakładkę lub zakładki.
Wybierz poszczególne zakładki, aby wyświetlić szczegóły zakładki w okienku po prawej stronie.
W razie potrzeby wprowadź zmiany. Zmiany są zapisywane automatycznie.
Uwaga
Na karcie zakładki można wyświetlić tylko maksymalnie 1000 zakładek. Pozostałe dane z zakładek można wyświetlić w dziennikach. Dowiedz się więcej
Eksplorowanie zakładek na grafie badania
Wizualizuj dane z zakładkami, uruchamiając środowisko badania, w którym można wyświetlać, badać i wizualnie komunikować wyniki za pomocą interaktywnego diagramu grafów i osi czasu.
Na karcie Zakładki wybierz zakładkę lub zakładki, które chcesz zbadać.
W szczegółach zakładki upewnij się, że co najmniej jedna jednostka jest mapowana.
Wybierz pozycję Zbadaj , aby wyświetlić zakładkę na grafie badania.
Aby uzyskać instrukcje dotyczące korzystania z wykresu badania, zobacz Używanie wykresu badania do dokładnego poznania.
Dodawanie zakładek do nowego lub istniejącego zdarzenia (tylko Azure Portal)
Dodaj zakładki do zdarzenia na karcie Zakładki na stronie Wyszukiwanie zagrożeń .
Na karcie Zakładki wybierz zakładkę lub zakładki, które chcesz dodać do zdarzenia.
Wybierz pozycję Akcje zdarzenia na pasku poleceń:
Wybierz odpowiednio pozycję Utwórz nowe zdarzenie lub Dodaj do istniejącego zdarzenia. Następnie:
- W przypadku nowego zdarzenia: opcjonalnie zaktualizuj szczegóły zdarzenia, a następnie wybierz pozycję Utwórz.
- Aby dodać zakładkę do istniejącego zdarzenia: wybierz jedno zdarzenie, a następnie wybierz pozycję Dodaj.
Aby wyświetlić zakładkę w zdarzeniu,
- Przejdź do obszaru> Microsoft Sentinel Zdarzeń zarządzania>nimi.
- Wybierz zdarzenie przy użyciu zakładki i Wyświetl pełne szczegóły.
- Na stronie zdarzenia w okienku po lewej stronie wybierz pozycję Zakładki.
Wyświetlanie danych z zakładkami w dziennikach
Wyświetlanie zapytań, wyników lub historii zakładek.
Nakarcie Zakładkiwyszukiwania zagrożeń> wybierz zakładkę.
W okienku szczegółów wybierz następujące linki:
Wyświetl zapytanie źródłowe , aby wyświetlić zapytanie źródłowe w okienku Dzienniki .
Wyświetl dzienniki zakładek , aby wyświetlić wszystkie metadane zakładki, w tym informacje o tym, kto dokonał aktualizacji, zaktualizowane wartości i czas wystąpienia aktualizacji.
Na pasku poleceń nakarcie Zakładkiwyszukiwania zagrożeń> wybierz pozycję Dzienniki zakładek, aby wyświetlić nieprzetworzone dane zakładek dla wszystkich zakładek.
Ten widok przedstawia wszystkie zakładki ze skojarzonymi metadanymi. Zapytania język zapytań Kusto (KQL) umożliwiają filtrowanie w dół do najnowszej wersji określonej zakładki, której szukasz.
Między utworzeniem zakładki a wyświetlaniem jej na karcie Zakładki może wystąpić znaczne opóźnienie ( mierzone w minutach ).
Usuwanie zakładki
Usunięcie zakładki powoduje usunięcie zakładki z listy na karcie Zakładka . Tabela HuntingBookmark dla obszaru roboczego usługi Log Analytics nadal zawiera poprzednie wpisy zakładek, ale najnowszy wpis zmienia wartość SoftDelete na true, co ułatwia filtrowanie starych zakładek. Usunięcie zakładki nie powoduje usunięcia żadnych jednostek z środowiska badania skojarzonych z innymi zakładkami ani alertami.
Aby usunąć zakładkę, wykonaj następujące kroki.
Nakarcie Zakładkiwyszukiwania zagrożeń> wybierz zakładkę lub zakładki, które chcesz usunąć.
Kliknij prawym przyciskiem myszy i wybierz opcję usunięcia wybranych zakładek.
Zawartość pokrewna
W tym artykule przedstawiono sposób uruchamiania badania zagrożeń przy użyciu zakładek w Microsoft Sentinel. Aby dowiedzieć się więcej na temat Microsoft Sentinel, zobacz następujące artykuły: