Trabalhar com resultados avançados da consulta de investigação

• Aplica-se a:

  Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Importante

Algumas informações neste artigo estão relacionadas ao produto pré-lançado que pode ser modificado substancialmente antes de ser lançado comercialmente. A Microsoft não oferece garantias, expressas ou implícitas, com relação às informações aqui fornecidas.

Embora possa construir as suas consultas de investigação avançadas para devolver informações precisas, também pode trabalhar com os resultados da consulta para obter mais informações e investigar atividades e indicadores específicos. Pode efetuar as seguintes ações nos resultados da consulta:

• Ver resultados como uma tabela ou gráfico
• Exportar tabelas e gráficos
• Desagregar para informações detalhadas da entidade
• Ajustar as consultas diretamente a partir dos resultados

Ver os resultados da consulta como uma tabela ou gráfico

Por predefinição, a investigação avançada apresenta os resultados da consulta como dados tabulares. Também pode apresentar os mesmos dados que um gráfico. A investigação avançada suporta as seguintes vistas:

Tipo de modo de exibição	Descrição
Table	Apresenta os resultados da consulta em formato tabular
Gráfico de colunas	Compõe uma série de itens exclusivos no eixo x como barras verticais cujas alturas representam valores numéricos de outro campo
Gráfico circular	Compõe circulares seccionais que representam itens exclusivos. O tamanho de cada circular representa valores numéricos de outro campo.
Gráfico de linhas	Desenha valores numéricos para uma série de itens exclusivos e liga os valores desenhados
Gráfico de dispersão	Desenha valores numéricos para uma série de itens exclusivos
Gráfico de área	Desenha valores numéricos para uma série de itens exclusivos e preenche as secções abaixo dos valores desenhados
Gráfico de áreas empilhadas	Desenha valores numéricos para uma série de itens exclusivos e empilha as secções preenchidas abaixo dos valores representados
Gráfico de tempo	Desenha valores por contagem numa escala temporal linear

Construir consultas para gráficos eficazes

Ao compor gráficos, a investigação avançada identifica automaticamente colunas de interesse e os valores numéricos a agregar. Para obter gráficos significativos, construa as suas consultas para devolver os valores específicos que pretende ver visualizados. Seguem-se algumas consultas de exemplo e os gráficos resultantes.

Alertas por gravidade

Utilize o summarize operador para obter uma contagem numérica dos valores que pretende criar. A consulta abaixo utiliza o summarize operador para obter o número de alertas por gravidade.

AlertInfo
| summarize Total = count() by Severity

Ao compor os resultados, um gráfico de colunas apresenta cada valor de gravidade como uma coluna separada:

AlertInfo
| summarize Total = count() by Severity
| render columnchart

E-mails de phishing entre os dez principais domínios do remetente

Se estiver a lidar com uma lista de valores que não são finitos, pode utilizar o Top operador para traçar apenas os valores com mais instâncias. Por exemplo, para obter os 10 principais domínios do remetente com mais e-mails de phishing, utilize a consulta abaixo:

EmailEvents
| where ThreatTypes has "Phish"
| summarize Count = count() by SenderFromDomain
| top 10 by Count

Utilize a vista de gráfico circular para mostrar efetivamente a distribuição nos domínios superiores:

Atividades de ficheiros ao longo do tempo

Ao utilizar o summarize operador com a bin() função , pode marcar para eventos que envolvam um indicador específico ao longo do tempo. A consulta abaixo conta os eventos que envolvem o ficheiro invoice.doc em intervalos de 30 minutos para mostrar picos de atividade relacionados com esse ficheiro:

CloudAppEvents
| union DeviceFileEvents
| where FileName == "invoice.doc"
| summarize FileCount = count() by bin(Timestamp, 30m)

O gráfico de linhas abaixo realça claramente os períodos de tempo com mais atividade a invoice.docenvolver :

Exportar tabelas e gráficos

Depois de executar uma consulta, selecione Exportar para guardar os resultados no ficheiro local. A vista escolhida determina a forma como os resultados são exportados:

• Vista de tabela — Os resultados da consulta são exportados em formato tabular como um livro do Microsoft Excel
• Qualquer gráfico — Os resultados da consulta são exportados como uma imagem JPEG do gráfico composto

Filtrar resultados

Depois de executar uma consulta, selecione Filtrar para restringir os resultados.

Para adicionar um filtro, selecione os dados que pretende filtrar ao selecionar uma ou mais das caixas de marcar. Em seguida, selecione OK.

Pode reduzir ainda mais os resultados a dados específicos ao selecionar o filtro adicionado recentemente.

Esta ação abre uma lista pendente que mostra os filtros possíveis que pode utilizar mais. Selecione uma ou mais caixas de marcar e, em seguida, selecione Aplicar.

Confirme que adicionou os filtros que queria ao verificar a secção Filtros.

Desagregar a partir dos resultados da consulta

Também pode explorar os resultados em linha com as seguintes funcionalidades:

• Expanda um resultado ao selecionar a seta pendente à esquerda de cada resultado
• Quando aplicável, expanda os detalhes dos resultados que estão em formatos JSON e de matriz ao selecionar a seta pendente à esquerda dos nomes de coluna aplicáveis para maior legibilidade
• Abra o painel lateral para ver os detalhes de um registo (em simultâneo com linhas expandidas)

Também pode clicar com o botão direito do rato em qualquer valor de resultado numa linha para que possa utilizá-lo para adicionar mais filtros à consulta existente ou copiar o valor para utilização numa investigação mais aprofundada.

Além disso, para campos JSON e matriz, pode clicar com o botão direito do rato e atualizar a consulta existente para incluir ou excluir o campo ou expandir o campo para uma nova coluna.

Para inspecionar rapidamente um registo nos resultados da consulta, selecione a linha correspondente para abrir o painel Inspecionar registo . O painel fornece as seguintes informações com base no registo selecionado:

• Recursos — vista resumida dos recursos main (caixas de correio, dispositivos e utilizadores) encontrados no registo, enriquecidos com informações disponíveis, tais como níveis de risco e exposição
• Todos os detalhes — Todos os valores das colunas no registo

Para ver mais informações sobre uma entidade específica nos resultados da consulta, como um computador, ficheiro, utilizador, endereço IP ou URL, selecione o identificador de entidade para abrir uma página de perfil detalhada para essa entidade.

Ajustar consultas a partir dos resultados

Selecione os três pontos à direita de qualquer coluna no painel Inspecionar registo . Você pode usar as opções para:

• Procurar explicitamente pelo valor selecionado (==)
• Excluir o valor selecionado da consulta (!=)
• Obtenha operadores mais avançados para adicionar o valor à sua consulta, como contains, starts withe ends with

Observação

Algumas tabelas neste artigo poderão não estar disponíveis em Microsoft Defender para Ponto de Extremidade. Ative Microsoft Defender XDR para procurar ameaças através de mais origens de dados. Pode mover os fluxos de trabalho de investigação avançados de Microsoft Defender para Ponto de Extremidade para Microsoft Defender XDR ao seguir os passos em Migrar consultas de investigação avançadas de Microsoft Defender para Ponto de Extremidade.

Tópicos relacionados

• Visão geral da busca avançada
• Aprender a linguagem de consulta
• Usar consultas compartilhadas
• Buscar em dispositivos, e-mails, aplicativos e identidades
• Compreender o esquema
• Aplicar práticas recomendadas de consulta
• Visão geral de detecções personalizadas

Dica

Você deseja aprender mais? Participe da comunidade de Segurança da Microsoft em nossa Tech Community: Tech Community do Microsoft Defender XDR.