Partilhar via


Pesquisar em períodos de tempo longos em grandes conjuntos de dados

Use um trabalho de pesquisa ao iniciar uma investigação para encontrar eventos específicos em logs de até sete anos atrás. Você pode pesquisar eventos em todos os seus logs, incluindo eventos nos planos de log Analytics, Basic e Archived. Filtre e procure eventos que correspondam aos seus critérios.

Importante

O Microsoft Sentinel agora está disponível em geral na plataforma de operações de segurança unificada da Microsoft no portal Microsoft Defender. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.

Iniciar uma pesquisa de emprego

Vá para Pesquisar no Microsoft Sentinel no portal do Azure ou no portal do Microsoft Defender para inserir seus critérios de pesquisa. Dependendo do tamanho do conjunto de dados de destino, os tempos de pesquisa variam. Embora a maioria dos trabalhos de pesquisa demore alguns minutos para ser concluída, as pesquisas em conjuntos de dados massivos que são executadas até 24 horas também são suportadas.

  1. Para Microsoft Sentinel no portal do Azure, em Geral, selecione Pesquisar.
    Para Microsoft Sentinel no portal Defender, selecione Microsoft Sentinel>Search.

  2. Selecione o menu Tabela e escolha uma tabela para a sua pesquisa.

  3. Na caixa Pesquisar, insira um termo de pesquisa.

  4. Selecione Iniciar para abrir o editor avançado Kusto Query Language (KQL) e visualizar os resultados para um intervalo de tempo definido.

  5. Altere a consulta KQL conforme necessário e selecione Executar para obter uma visualização atualizada dos resultados da pesquisa.

    Screenshot do editor KQL com pesquisa revista.

  6. Quando estiver satisfeito com a consulta e a visualização dos resultados da pesquisa, selecione as reticências e ative o modo Pesquisar trabalho.

    Captura de ecrã do editor KQL com pesquisa revista com reticências realçadas para o modo de trabalho de pesquisa.

  7. Selecione o intervalo de tempo apropriado.

  8. Resolva quaisquer problemas de KQL indicados por uma linha vermelha ondulada no editor.

  9. Quando estiver pronto para iniciar a pesquisa, selecione Pesquisar vaga.

  10. Insira um novo nome de tabela para armazenar os resultados do trabalho de pesquisa.

  11. Selecione Executar um trabalho de pesquisa.

  12. Aguarde a notificação O trabalho de pesquisa é feito para visualizar os resultados.

Ver resultados da pesquisa de emprego

Veja o estado e os resultados do seu trabalho de pesquisa acedendo ao separador Pesquisas Guardadas .

  1. No Microsoft Sentinel, selecione Pesquisar>pesquisas salvas.

  2. No cartão de pesquisa, selecione Ver resultados da pesquisa.

    Captura de ecrã que mostra a ligação para ver os resultados da pesquisa na parte inferior do cartão de emprego de pesquisa.

    Por padrão, você vê todos os resultados que correspondem aos seus critérios de pesquisa originais.

  3. Para refinar a lista de resultados retornados da tabela de pesquisa, selecione Adicionar filtro.

  4. À medida que revê os resultados da pesquisa, selecione Adicionar marcador ou selecione o ícone de marcador para preservar uma linha. Adicionar um marcador permite marcar eventos, adicionar notas e anexar esses eventos a um incidente para referência posterior.

    Captura de tela que mostra os resultados da pesquisa de trabalho com um marcador no processo de adição.

  5. Selecione o botão Colunas e selecione a caixa de verificação junto às colunas que pretende adicionar à vista de resultados.

  6. Adicione o filtro Marcador para mostrar apenas entradas preservadas.

  7. Selecione Ver todos os favoritos para ir para a página Caça, onde pode adicionar um marcador a um incidente existente.

Próximos passos

Para saber mais, consulte os seguintes artigos.