Korzystanie z raportu zaawansowanego zapytania wyszukiwania zagrożeń

Dotyczy:

• Microsoft Defender XDR

Omówienie zaawansowanych limitów przydziałów zagrożeń i parametrów użycia

Aby usługa była wydajna i dynamiczna, zaawansowane wyszukiwanie zagrożeń ustawia różne limity przydziału i parametry użycia (nazywane również "limitami usługi"). Te limity przydziału i parametry dotyczą oddzielnie zapytań uruchamianych ręcznie i zapytań uruchamianych przy użyciu niestandardowych reguł wykrywania. Klienci, którzy regularnie uruchamiają wiele zapytań, powinni pamiętać o tych limitach i stosować najlepsze rozwiązania optymalizacji w celu zminimalizowania zakłóceń.

Zapoznaj się z poniższą tabelą, aby poznać istniejące limity przydziału i parametry użycia.

Limit przydziału lub parametr	Rozmiar	Cykl odświeżania	Opis
Zakres danych	30 dni	Każde zapytanie	Każde zapytanie może wyszukiwać dane z ostatnich 30 dni.
Zestaw wyników	30 000 wierszy	Każde zapytanie	Każde zapytanie może zwrócić do 30 000 rekordów.
Limit czasu	10 minut	Każde zapytanie	Każde zapytanie może być uruchamiane przez maksymalnie 10 minut. Jeśli nie zostanie ukończona w ciągu 10 minut, usługa wyświetli błąd.
Zasoby procesora CPU	Na podstawie rozmiaru dzierżawy	Co 15 minut	W portalu jest wyświetlany błąd za każdym razem, gdy zapytanie jest uruchamiane, a dzierżawa zużywa ponad 10% przydzielonych zasobów. Zapytania są blokowane, jeśli dzierżawa osiągnęła 100% aż do następnego 15-minutowego cyklu.

Uwaga

Oddzielny zestaw przydziałów i parametrów ma zastosowanie do zaawansowanych zapytań wyszukiwania zagrożeń wykonywanych za pośrednictwem interfejsu API. Przeczytaj o zaawansowanych interfejsach API wyszukiwania zagrożeń

Wyświetlanie raportu zasobów zapytań w celu znalezienia nieefektywnych zapytań

Raport zasobów zapytań przedstawia użycie zasobów procesora CPU przez organizację na potrzeby wyszukiwania zagrożeń na podstawie zapytań uruchomionych w ciągu ostatnich 30 dni przy użyciu dowolnego interfejsu wyszukiwania zagrożeń. Ten raport jest przydatny w identyfikowaniu zapytań intensywnie korzystających z zasobów i zrozumieniu, jak zapobiegać ograniczaniu przepustowości z powodu nadmiernego użycia.

Uzyskiwanie dostępu do raportu zasobów zapytania

Dostęp do raportu można uzyskać na dwa sposoby:

• Na stronie zaawansowanego wyszukiwania zagrożeń wybierz pozycję Raport zasobów zapytań:

  

• Na stronie Raporty znajdź nowy wpis raportu w sekcji Ogólne

  

Wszyscy użytkownicy mogą uzyskiwać dostęp do raportów, jednak tylko Microsoft Entra administrator globalny, Microsoft Entra administrator zabezpieczeń i Microsoft Entra role czytelnika zabezpieczeń mogą wyświetlać zapytania wykonywane przez wszystkich użytkowników we wszystkich interfejsach. Każdy inny użytkownik może zobaczyć tylko:

• Zapytania uruchamiane za pośrednictwem portalu
• Zapytania publicznego interfejsu API, które zostały uruchomione samodzielnie, a nie za pośrednictwem aplikacji
• Utworzone przez nie wykrywanie niestandardowe

Wykonywanie zapytań o zawartość raportu zasobu

Domyślnie tabela raportów wyświetla zapytania z ostatniego dnia i jest sortowana według użycia zasobów, aby ułatwić określenie, które zapytania zużywają największą ilość zasobów procesora CPU.

Raport zasobów zapytania zawiera wszystkie uruchomione zapytania, w tym szczegółowe informacje o zasobie dla zapytania:

• Czas — kiedy zapytanie zostało uruchomione
• Interfejs — czy zapytanie zostało uruchomione w portalu, w wykrywaniu niestandardowym, czy za pośrednictwem zapytania interfejsu API
• Użytkownik/aplikacja — użytkownik lub aplikacja, która uruchomiła zapytanie
• Użycie zasobów — wskaźnik ilości zasobów procesora CPU używanych przez zapytanie (może to być wartość Niska, Średnia lub Wysoka, gdzie wysoka oznacza, że zapytanie używało dużej ilości zasobów procesora CPU i powinno zostać ulepszone, aby było bardziej wydajne)
• Stan — czy zapytanie zostało ukończone, zakończone niepowodzeniem, czy też zostało ograniczone
• Czas wykonywania zapytania — jak długo trwało uruchamianie zapytania
• Zakres czasu — zakres czasu używany w zapytaniu

Porada

Jeśli stan zapytania to Niepowodzenie, możesz zatrzymać kursor pola, aby wyświetlić przyczynę niepowodzenia zapytania.

Znajdowanie zapytań z dużą ilością zasobów

Zapytania o wysokim użyciu zasobów lub długim czasie wykonywania zapytań można prawdopodobnie zoptymalizować, aby zapobiec ograniczaniu przepustowości za pośrednictwem tego interfejsu.

Na wykresie jest wyświetlane użycie zasobów w czasie dla interfejsu. Możesz łatwo zidentyfikować nadmierne użycie i kliknąć skoki na wykresie, aby odpowiednio odfiltrować tabelę. Po wybraniu wpisu na grafie tabela jest filtrowana do określonej daty.

Możesz zidentyfikować zapytania, które korzystały z największej ilości zasobów w danym dniu, i podjąć działania w celu ich ulepszenia — stosując najlepsze rozwiązania dotyczące zapytań lub uświec użytkownika, który uruchomił zapytanie lub utworzył regułę w celu uwzględnienia wydajności zapytań i zasobów. W przypadku trybu z przewodnikiem użytkownik musi przełączyć się do trybu zaawansowanego , aby edytować zapytanie.

Wykres obsługuje dwa widoki:

• Średnie użycie dziennie — średnie wykorzystanie zasobów dziennie
• Najwyższe użycie dziennie — najwyższe rzeczywiste wykorzystanie zasobów dziennie

Oznacza to, że jeśli na przykład w określonym dniu uruchomiono dwa zapytania, jedno z nich używało 50% zasobów, a jedno 100%, średnia dzienna wartość użycia będzie pokazywać 75%, podczas gdy górne dzienne użycie będzie pokazywać 100%.

Tematy pokrewne

• Zaawansowane najlepsze rozwiązania dotyczące wyszukiwania zagrożeń
• Obsługa zaawansowanych błędów wyszukiwania zagrożeń
• Omówienie zaawansowanego wyszukiwania zagrożeń

Porada

Chcesz dowiedzieć się więcej? Zaangażuj się w społeczność rozwiązań zabezpieczających firmy Microsoft w naszej społeczności technicznej Społeczność techniczna usługi Microsoft Defender XDR.