Escolher entre modos guiados e avançados para procurar no Microsoft Defender XDR

Aplica-se a:

• Microsoft Defender XDR

Pode encontrar a página de investigação avançada ao aceder à barra de navegação à esquerda no portal do Microsoft Defender e selecionar Investigação>Avançada. Se a barra de navegação estiver fechada, selecione o .

Na página de investigação avançada , são suportados dois modos:

• Modo guiado – para consultar com o construtor de consultas
• Modo avançado – para consultar com o editor de consultas com Linguagem de Pesquisa Kusto (KQL)

A principal diferença entre os dois modos é que o modo guiado não requer que o caçador saiba o KQL para consultar a base de dados, enquanto o modo avançado requer conhecimentos de KQL.

O modo guiado apresenta um construtor de consultas que tem um estilo de bloco modular, visual e fácil de utilizar para construir consultas através de menus pendentes que contêm filtros e condições disponíveis. Para utilizar o modo guiado, consulte Introdução ao modo de investigação guiada.

O modo avançado inclui uma área do editor de consultas onde os utilizadores podem criar consultas de raiz. Para utilizar o modo avançado, veja Introdução ao modo de investigação avançado.

Introdução ao modo de investigação guiada

Importante

Algumas informações estão relacionadas com o produto pré-lançado que pode ser substancialmente modificado antes de ser lançado comercialmente. A Microsoft não oferece garantias, expressas ou implícitas, em relação às informações aqui fornecidas.

Quando abre a página de investigação avançada pela primeira vez após a disponibilização da investigação guiada, é convidado a fazer a visita guiada para saber mais sobre as diferentes partes da página, como os separadores e as áreas de consulta.

Para fazer a visita guiada, selecione Fazer apresentação quando esta faixa for apresentada:

Siga as bolhas de ensino azuis que aparecem ao longo da página e selecione Seguinte para passar de um passo para o outro.

Pode ver a apresentação novamente em qualquer altura ao aceder a Recursos> de ajudaSaiba mais e selecione Fazer a apresentação.

Em seguida, pode começar a criar a sua consulta para procurar ameaças. Os seguintes artigos podem ajudá-lo a tirar o máximo partido da investigação no modo guiado:

Objetivo de aprendizagem	Descrição	Recurso
Criar a sua primeira consulta	Aprenda as noções básicas do construtor de consultas, como especificar o domínio de dados e adicionar condições e filtros para o ajudar a criar uma consulta significativa. Saiba mais ao executar consultas de exemplo.	Criar consultas de investigação com o modo guiado
Saiba mais sobre as diferentes capacidades do construtor de consultas	Conheça os diferentes tipos de dados suportados e as capacidades do modo guiado para o ajudar a ajustar a consulta de acordo com as suas necessidades.	Refinar a sua consulta no modo orientado
Saiba o que pode fazer com os resultados da consulta	Familiarize-se com a vista Resultados e o que pode fazer com os resultados gerados, como tomar medidas sobre os mesmos ou ligá-los a um incidente.	- Trabalhar com resultados de consulta no modo guiado - Tomar medidas nos resultados da consulta - Ligar os resultados da consulta a um incidente
Criar regras de deteção personalizadas	Compreenda como pode utilizar consultas de investigação avançadas para acionar alertas e efetuar ações de resposta automaticamente.	- Descrição geral das deteções personalizadas - Regras de deteção personalizadas

Introdução ao modo de investigação avançado

Recomendamos que veja estes passos para começar rapidamente a investigação avançada:

Objetivo de aprendizagem	Descrição	Recurso
Aprender o idioma	A investigação avançada baseia-se na linguagem de consulta Kusto, suportando a mesma sintaxe e operadores. Comece a aprender a linguagem de consulta ao executar a sua primeira consulta.	Descrição geral da linguagem de consulta
Saiba como utilizar os resultados da consulta	Saiba mais sobre gráficos e várias formas de ver ou exportar os seus resultados. Explore como pode ajustar rapidamente as consultas, desagregar para obter informações mais ricas e tomar medidas de resposta.	- Trabalhar com resultados de consulta no modo avançado - Tomar medidas nos resultados da consulta - Ligar os resultados da consulta a um incidente
Compreender o esquema	Obtenha uma boa compreensão geral das tabelas no esquema e nas respetivas colunas. Saiba onde procurar dados ao construir as suas consultas.	- Referência de esquema - Transição do Microsoft Defender para Endpoint
Obter sugestões e exemplos de especialistas	Prepare gratuitamente com guias de especialistas da Microsoft. Explore coleções de consultas predefinidas que abrangem diferentes cenários de investigação de ameaças.	- Obter formação especializada - Utilizar consultas partilhadas - Ir caçar - Procurar ameaças entre dispositivos, e-mails, aplicações e identidades
Otimizar consultas e processar erros	Compreenda como criar consultas eficientes e sem erros.	- Melhores práticas de consulta - Processar erros
Criar regras de deteção personalizadas	Compreenda como pode utilizar consultas de investigação avançadas para acionar alertas e efetuar ações de resposta automaticamente.	- Descrição geral das deteções personalizadas - Regras de deteção personalizadas

Consulte também

• Compreender o esquema
• Criar consultas de investigação com o modo guiado
• Aprender a linguagem de consulta

Sugestão

Quer saber mais? Interaja com a comunidade do Microsoft Security na nossa Tech Community: Microsoft Defender XDR Tech Community.