Criar tarefas KQL no Microsoft Sentinel data lake

Os trabalhos da Linguagem de Consulta Kusto (KQL) são consultas KQL únicas ou agendadas em dados no lago de dados Microsoft Sentinel e em tabelas federadas. As tabelas federadas são fontes de dados externas, como Microsoft Entra ID, Microsoft 365 e Microsoft Resource Graph, que pode consultar juntamente com tabelas data lake sem ingerir os dados no seu espaço de trabalho. Use tarefas para cenários de investigação e análise, tais como:

• Consultas pontuais de longa duração para investigações de incidentes e resposta a incidentes (IR)
• Tarefas de agregação de dados que dão suporte a fluxos de trabalho de enriquecimento utilizando registos de baixa fidelidade
• Análises de correspondência de informações sobre ameaças históricas (TI) para análise retrospetiva
• Análises de deteção de anomalias que identificam padrões invulgares em várias tabelas

As tarefas KQL são especialmente eficazes quando as consultas utilizam associações ou uniões em diferentes conjuntos de dados. Antes de começar, certifique-se de que cumpre os pré-requisitos, incluindo a integração do data lake e as permissões necessárias.

Utilize tarefas para promover dados da camada do data lake para a camada de análise. Uma vez na camada de análise, utilize o editor KQL de investigação avançada para consultar os dados. A promoção de dados para o escalão de análise tem as seguintes vantagens:

• Combine dados atuais e históricos na camada de análise ou a partir de tabelas federadas para executar modelos avançados de análise e machine learning nos seus dados.
• Reduza os custos das consultas ao executar consultas no escalão de análise.
• Combinar dados de várias áreas de trabalho para uma única área de trabalho na camada de análise.
• Combine os dados do Microsoft Entra ID, do Microsoft 365 e do Microsoft Resource Graph na camada de análise para realizar análises avançadas entre origens de dados.

Nota

O armazenamento no escalão de análise incorre em taxas de faturação mais elevadas do que na camada do data lake. Para reduzir os custos, promova apenas os dados que precisa de analisar mais aprofundadamente. Utilize o KQL na consulta para projetar apenas as colunas de que precisa e filtre os dados para reduzir a quantidade de dados promovidos para a camada de análise.

Pode promover dados para uma nova tabela ou acrescentar os resultados a uma tabela existente na camada de análise. Ao criar uma nova tabela, o nome da tabela é sufixo com _KQL_CL para indicar que a tabela foi criada por uma tarefa KQL.

Opcionalmente, pode escrever a saída de uma tarefa KQL para outra tabela na camada de data lake para acelerar a investigação ou utilizar os dados enriquecidos para a procura de ameaças. Ao criar uma nova tabela, o nome da tabela recebe o sufixo _KQL se escrever para a área de trabalho Tabelas do Sistema.

Pré-requisitos

Para criar e gerir tarefas KQL no Microsoft Sentinel data lake, precisa dos seguintes pré-requisitos.

Integrar no lago de dados

Para criar e gerir tarefas KQL no data lake do Microsoft Sentinel, tem primeiro de aderir ao data lake. Para obter mais informações sobre a inclusão no data lake, veja Integrar no data lake do Microsoft Sentinel.

Permissões

As funções do Microsoft Entra ID concedem acesso abrangente a todas as áreas de trabalho no lago de dados. Para ler tabelas em todas as áreas de trabalho, escrever na camada de análise e agendar tarefas com consultas KQL, tem de ter uma das funções de Microsoft Entra ID suportadas. Para obter mais informações sobre funções e permissões, consulte funções e permissões do data lake do Microsoft Sentinel.

Para criar novas tabelas personalizadas no escalão de análise, atribua a função Contribuidor do Log Analytics na área de trabalho do Log Analytics à identidade gerida do data lake.

Para atribuir a função, siga estes passos:

1. No portal do Azure, aceda à área de trabalho do Log Analytics à qual pretende atribuir a função.
2. Selecione Controlo de acesso (IAM) no painel de navegação esquerdo.
3. Selecione Adicionar atribuição de função.
4. Na tabela Função , selecione *Contribuidor do Log Analytics e, em seguida, selecione Seguinte.
5. Selecione Identidade gerida e, em seguida, selecione Selecionar membros.
6. A identidade gerida do data lake é uma identidade gerida atribuída pelo sistema denominada msg-resources-<guid>. Selecione a identidade gerida e, em seguida, selecione Selecionar.
7. Selecione Rever e atribuir.

Para obter mais informações sobre como atribuir funções a identidades geridas, veja Atribuir funções de Azure com o portal do Azure.

Criar um trabalho

Pode criar tarefas para serem executadas de forma agendada ou uma única vez. Quando cria uma tarefa, especifica a área de trabalho de destino e a tabela dos resultados. Pode escrever os resultados numa nova tabela ou anexá-los a uma tabela existente na camada de data lake ou análise. Não pode escrever os resultados em tabelas federadas. Pode criar uma nova tarefa KQL ou criar uma tarefa a partir de um modelo que contenha as definições da consulta e da tarefa. Para obter mais informações, veja Criar uma tarefa KQL a partir de um modelo.

1. Inicie o processo de criação de tarefas a partir do editor de consultas KQL ou a partir da página de gestão de tarefas.

   1. Para criar uma tarefa a partir do editor de consultas KQL, selecione o botão Criar tarefa no canto superior direito do editor de consultas.

   2. Para criar uma tarefa a partir da página de gestão de tarefas, selecione Microsoft Sentinel>Data lake exploration>Jobs e, em seguida, selecione o botão Criar tarefa.

2. Introduza um Nome da tarefa. O nome da tarefa tem de ser exclusivo para o inquilino. Os nomes das tarefas podem conter até 256 carateres. Não pode utilizar um # ou um - num nome de tarefa.

3. Introduza uma Descrição da Tarefa que forneça o contexto e o objetivo da tarefa.

4. No menu pendente Selecionar espaço de trabalho, selecione o espaço de trabalho de destino. Esta área de trabalho pode ser tabelas de sistema ou uma área de trabalho Sentinel onde pretende escrever os resultados da consulta.

5. Selecione a tabela de destino:

   1. Para acrescentar a uma tabela existente, selecione Adicionar a uma tabela existente e selecione o nome da tabela na lista pendente. Ao adicionar a uma tabela existente, os resultados da consulta têm de corresponder ao esquema da tabela existente.

6. Selecione Seguinte.

7. Reveja ou escreva a consulta no painel Preparar a consulta . Verifique se o seletor de hora está definido para o intervalo de tempo necessário para a tarefa se o intervalo de datas não estiver especificado na consulta.

8. Selecione as áreas de trabalho nas quais pretende executar a consulta a partir da lista pendente Áreas de trabalho selecionadas. Estas áreas de trabalho são as áreas de trabalho de origem cujas tabelas pretende consultar. As áreas de trabalho que selecionar determinam as tabelas disponíveis para consulta. As áreas de trabalho selecionadas aplicam-se a todos os separadores de consulta no editor de consultas. Ao utilizar várias áreas de trabalho, o union() operador é aplicado por predefinição a tabelas com o mesmo nome e esquema de diferentes áreas de trabalho. Utilize o workspace() operador para consultar uma tabela a partir de uma área de trabalho específica, por exemplo workspace("MyWorkspace").AuditLogs.

   Nota

   Se estiver a escrever numa tabela existente, a consulta tem de devolver resultados com um esquema que corresponda ao esquema da tabela de destino. Se a consulta não devolver resultados com o esquema correto, a tarefa falhará quando é executada.

   A escrita de tarefas KQL em Tabelas de sistema está atualmente em pré-visualização.

9. Selecione Seguinte.

   

   Na página Agendar a tarefa de consulta , selecione se pretende executar a tarefa uma vez ou com base numa agenda. Se selecionar Uma vez, a tarefa é executada assim que a definição da tarefa estiver concluída. Se selecionar Agendar, pode especificar uma data e hora para a tarefa ser executada ou executar a tarefa com base numa agenda periódica.

10. Selecione Uma vez ou Tarefa agendada.

    Nota

    Editar uma tarefa única aciona imediatamente a respetiva execução.

11. Se tiver selecionado Agendar, introduza os seguintes detalhes:

    1. Selecione a Frequência de repetição na lista pendente. Pode selecionar Por minuto, Hora a hora, Diariamente, Semanalmente ou Mensalmente.
    2. Defina o valor de Repetir cada para definir com que frequência pretende que a tarefa seja executada, de acordo com a frequência selecionada.
    3. Em Definir agenda, selecione uma data De e introduza uma hora. A hora de início da tarefa no campo De tem de ser, pelo menos, 30 minutos após a criação da tarefa. A tarefa é executada a partir desta data e hora, de acordo com a frequência selecionada na lista suspensa Executar a cada.
    4. Selecione a data Até e introduza uma hora para especificar quando o agendamento da tarefa termina. Se quiser que a agenda continue indefinidamente, selecione Definir tarefa para ser executada indefinidamente.

    As horas de início e de fim da tarefa são definidas de acordo com as definições regionais do utilizador.

    Nota

    Se agendar uma tarefa para ser executada com uma frequência elevada, por exemplo, a cada 30 minutos, tem de ter em conta o tempo necessário para que os dados fiquem disponíveis no data lake. Normalmente, existe uma latência de até 15 minutos antes de os dados recentemente ingeridos estarem disponíveis para consulta.

12. Selecione Seguinte para rever os detalhes da tarefa.

    

13. Reveja os detalhes da tarefa e selecione Submeter para criar a tarefa. Se a tarefa for uma tarefa única, é executada depois de selecionar Submeter. Se a tarefa estiver agendada, é adicionada à lista de tarefas na página Tarefas e executada de acordo com os dados de início e a hora.

14. O trabalho está agendado e é apresentada a página seguinte. Pode ver a tarefa ao clicar na hiperligação.

Criar uma tarefa a partir de um modelo

Pode criar uma tarefa KQL a partir de um modelo de tarefa predefinido. Os modelos de tarefas contêm a consulta KQL e as definições da tarefa, como a área de trabalho de destino e a tabela, agenda e descrição. Pode criar os seus próprios modelos de trabalho ou utilizar modelos incorporados fornecidos pela Microsoft.

Para criar uma tarefa a partir de um modelo, siga estes passos:

1. Na página Tarefas ou no editor de consultas KQL, selecione Criar tarefa e, em seguida, selecione Criar a partir do modelo.

2. Na página Modelos de tarefas , selecione o modelo que pretende utilizar na lista de modelos disponíveis.

3. Reveja a descrição e a consulta KQL do modelo.

4. Selecione Criar tarefa a partir do modelo.

   

5. O assistente de criação de tarefas é aberto com a página Criar uma nova tarefa KQL . Os detalhes da tarefa foram pré-preenchidos a partir do modelo, com exceção da área de trabalho de destino.

6. Selecione a área de trabalho de destino no menu pendente Selecionar área de trabalho.

7. Reveja e modifique os detalhes da tarefa conforme necessário e, em seguida, selecione Seguinte para prosseguir com o assistente de criação de tarefas.

8. Os restantes passos são os mesmos que em Criar um emprego. Os campos são pré-preenchidos a partir do modelo e podem ser modificados conforme necessário.

Estão disponíveis os seguintes modelos:

Nome do modelo	Categoria
Aumento das localizações anómalas de início de sessão Analise as tendências nos registos de início de sessão do Entra ID para detetar alterações invulgares de localização dos utilizadores em várias aplicações, calculando linhas de tendência da diversidade de localizações. Realça as três principais contas com o aumento mais acentuado da variabilidade da localização e lista as respetivas localizações associadas dentro de janelas de 21 dias. Tabela de destino: UserAppSigninLocationTrend Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Comportamento anómalo de início de sessão com base em alterações de localização Identifique comportamentos anómalos no início de sessão com base nas alterações de localização dos utilizadores e das aplicações do Entra ID para detetar alterações súbitas no comportamento. Tabela de destino: UserAppSigninLocationAnomalies Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Deteção de anomalias
Auditar atividade rara por aplicação Encontre aplicações que efetuem ações raras (por exemplo, consentimento, concessões) que podem criar privilégios silenciosamente. Compare o dia atual com os últimos 14 dias de auditorias para identificar novas atividades de auditoria. Útil para controlar atividades maliciosas relacionadas com adições ou remoção de utilizadores/grupos por Azure Apps e aprovações automatizadas. Tabela de destino: AppAuditRareActivity Retrospetiva da consulta: 14 dias Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Operações raras do Azure ao nível da subscrição Identifique eventos confidenciais Azure ao nível da subscrição com base nos Registos de Atividades do Azure. Por exemplo, a monitorização baseada no nome da operação "Create or Update Snapshot", que é utilizada para criar cópias de segurança, mas pode ser indevidamente utilizada por atacantes para descarregar hashes ou extrair informação sensível do disco. Tabela de destino: AzureSubscriptionSensitiveOps Retrospetiva da consulta: 14 dias Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Tendência de atividade diária por aplicação em AuditLogs Nos últimos 14 dias, identifique qualquer operação de "Consentimento para a aplicação" que ocorra por um utilizador ou aplicação. Isto pode indicar que as permissões para aceder ao AzureApp listado foram fornecidas a um ator malicioso. O consentimento para a aplicação, a adição do principal de serviço e a adição de eventos Auth2PermissionGrant devem ser raros. Se disponível, o contexto adicional é adicionado a partir dos AuditLogs com base no CorrleationId da mesma conta que efetuou o "Consentimento para a aplicação". Tabela de destino: AppAuditActivityBaseline Retrospetiva da consulta: 14 dias Agenda: diariamente Data de início: Data atual + 1 hora	Linha base
Tendência de localização diária por utilizador ou aplicação em SignInLogs Crie tendências diárias para todos os inícios de sessão dos utilizadores, a contagem de localizações e a respetiva utilização de aplicações. Tabela de destino: UserAppSigninLocationBaseline Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Linha base
Tendência diária de tráfego de rede por IP de destino Crie uma linha de base, incluindo bytes e elementos distintos para detetar beaconing e exfiltração. Tabela de destino: NetworkTrafficDestinationIPDailyBaseline Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Linha base
Tendência diária de tráfego de rede por IP de destino com estatísticas de transferência de dados Identifique o anfitrião interno que alcançou o destino de saída, incluindo tendências de volume, estimando o raio da explosão. Tabela de destino: NetworkTrafficDestinationIPTrend Retrospetiva da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Tendência diária de tráfego de rede por IP de origem Crie uma linha de base, incluindo bytes e elementos distintos para detetar beaconing e exfiltração. Tabela de destino: NetworkTrafficSourceIPDailyBaseline Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Linha base
Tendência diária de tráfego de rede por IP de origem com estatísticas de transferência de dados As conexões e os bytes de hoje são avaliados em relação à referência diária do host, numa base de dia para dia, para determinar se os comportamentos observados se desviam significativamente do padrão estabelecido. Tabela de destino: NetworkTrafficSourceIPTrend Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Tendência das localizações de início de sessão por dia, por utilizador e aplicação Crie um perfil de referência de início de sessão para cada utilizador ou aplicação, com localização geográfica e endereços IP típicos, permitindo a deteção eficiente e económica de anomalias em grande escala. Tabela de destino: UserAppSigninLocationDailyBaseline Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Linha base
Tendência de execução diária de processos Identifique novos processos e prevalência, facilitando as deteções de "novo processo raro". Tabela de destino: EndpointProcessExecutionBaseline Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Linha base
Entra ID de agente de utilizador raro por aplicação Estabeleça uma linha de base do tipo de UserAgent (ou seja, navegador, aplicação do Office, etc.) que é normalmente utilizado para uma determinada aplicação, analisando retrospetivamente um determinado número de dias. Em seguida, analisa o dia atual à procura de eventuais desvios a este padrão, ou seja, tipos de UserAgents ainda não observados em combinação com esta aplicação. Tabela de destino: UserAppRareUserAgentAnomalies Retrospetiva da consulta: 7 dias Agenda: diariamente Data de início: Data atual + 1 hora	Deteção de anomalias
Correspondência de indicadores de compromisso em registos de rede Identifique quaisquer indicadores de compromisso (IOCs) de IP a partir da inteligência sobre ameaças (TI), procurando correspondências no CommonSecurityLog. Tabela de destino: NetworkLogIOCMatches Retrospetiva da consulta: 1 hora Agendamento: de hora em hora Data de início: Data atual + 1 hora	Investigação
Novos processos observados nas últimas 24 horas Novos processos em ambientes estáveis podem indicar atividade maliciosa. Analisar sessões de iniciação de sessão nas quais estes binários foram executados pode ajudar a identificar ataques. Tabela de destino: EndpointNewProcessExecutions Retrospetiva da consulta: 14 dias Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Operação de ficheiros do SharePoint através de IPs não vistos anteriormente Identifique anomalias com o comportamento do utilizador ao definir um limiar para alterações significativas nas atividades de carregamento/transferência de ficheiros a partir de novos endereços IP. Estabelece uma linha de base de comportamento típico, compara-a com a atividade recente e sinaliza desvios que excedem um limiar predefinido de 25. Tabela de destino: SharePointFileOpsNewIPs Retrospetiva da consulta: 14 dias Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Potencial sinalização de rede do Palo Alto Identifique os padrões de beaconing dos registos de tráfego da Rede Palo Alto com base em padrões de diferença de tempo recorrentes. A consulta utiliza várias funções KQL para calcular intervalos de tempo e, em seguida, compara-os com o total de eventos observados num dia para determinar a percentagem de beaconing. Tabela de destino: PaloAltoNetworkBeaconingTrend Período retrospetivo da consulta: 1 dia Agenda: diariamente Data de início: Data atual + 1 hora	Investigação
Início de sessão suspeito do Windows fora do horário normal Identifique eventos de início de sessão invulgares do Windows fora das horas normais de um utilizador ao comparar com a atividade de início de sessão dos últimos 14 dias, sinalizando anomalias com base em padrões históricos. Tabela de destino: WindowsLoginOffHoursAnomalies Retrospetiva da consulta: 14 dias Agenda: diariamente Data de início: Data atual + 1 hora	Deteção de anomalias

Considerações e limitações

Quando criar tarefas no data lake Microsoft Sentinel, considere as seguintes limitações e melhores práticas:

Escolha um escalão de dados para o resultado da tarefa KQL

As tarefas KQL podem escrever dados na camada Analytics ou na camada data lake, consoante a camada da tabela de destino. Ao criar uma nova tabela através do assistente de criação de tarefas, pode selecionar tabelas de sistema como a área de trabalho de destino para escrever dados diretamente no data lake. As tabelas criadas desta forma são criadas e armazenadas diretamente na camada do data lake e são automaticamente sufixas com _KQL.

Considerações sobre KQL para tarefas em lago de dados

As seguintes limitações do KQL aplicam-se às tarefas em data lake:

• Todos os operadores e funções KQL são suportados, exceto os seguintes:

  • adx()
  • arg()
  • externaldata()
  • ingestion_time()

• Quando utilizar o stored_query_results comando , forneça o intervalo de tempo na consulta KQL. O seletor de tempo acima do editor de consultas não funciona com este comando.

• As funções definidas pelo utilizador não são suportadas.

Limites de nomeação e agendamento de funções

As seguintes limitações de nomeação e agendamento aplicam-se aos empregos KQL:

• Os nomes das tarefas têm de ser exclusivos para o inquilino.
• Os nomes das tarefas podem ter até 256 carateres.
• Os nomes dos trabalhos não podem conter um # ou um -.
• A hora de início da tarefa tem de ser, pelo menos, 30 minutos após a criação ou edição da tarefa.

Eliminação dos espaços de trabalho de origem

Se um espaço de trabalho de origem referenciado por um trabalho KQL agendado for eliminado, o trabalho pode continuar a correr e falhar em cada execução agendada até que o calendário expire ou o trabalho seja modificado. Para evitar falhas repetidas e consumo desnecessário de recursos, os trabalhos que referenciam espaços de trabalho de origem eliminados são automaticamente colocados num estado Desativado e requerem ação do utilizador antes de poderem retomar.

Latência da ingestão do Data Lake

A camada do data lake armazena dados no armazenamento a frio. Ao contrário das camadas de análise ativas ou quase em tempo real, o armazenamento a frio está otimizado para retenção a longo prazo e eficiência em termos de custo e não fornece acesso imediato a dados recentemente ingeridos. Quando são adicionadas novas linhas a tabelas existentes no data lake ou em tabelas federadas, existe uma latência típica de até 15 minutos antes de os dados estarem disponíveis para consulta. Tenha em conta a latência de ingestão ao executar consultas e agendar tarefas KQL, garantindo que as janelas retrospetivas e os agendamentos das tarefas estão configurados de modo a evitar dados que ainda não estejam disponíveis.

Para evitar consultar dados que possam ainda não estar disponíveis, inclua um parâmetro de atraso nas consultas ou tarefas KQL. Por exemplo, quando agenda tarefas automatizadas, defina a hora de fim da consulta como now() - delay, em que delay corresponde à latência de preparação de dados típica de 15 minutos. Esta abordagem garante que as consultas apenas visam dados totalmente ingeridos e prontos para análise.

A consulta KQL seguinte deteta eventos numa janela de análise de 15 minutos, tendo em conta o atraso na ingestão. A lookback variável controla o intervalo de tempo de consulta, e a delay variável desloca a janela para garantir que apenas os dados totalmente ingeridos são consultados.

let lookback = 15m;
let delay = 15m;
let endTime = now() - delay;
let startTime = endTime - lookback;
CommonSecurityLog
| where TimeGenerated between (startTime .. endTime)

Esta abordagem é eficaz para tarefas com janelas de pesquisa curtas ou intervalos de execução frequentes.

Considere sobrepor o período retrospetivo à frequência de execução da tarefa para reduzir o risco de não detetar dados que chegam com atraso.

Para obter mais informações, consulte Gerir o atraso na ingestão de dados nas regras de análise agendadas.

Nomes de colunas

Os nomes das colunas têm de começar com uma letra.

As seguintes colunas padrão não são suportadas para exportação. O processo de ingestão substitui estas colunas na camada de destino:

• TenantId

• _TimeReceived

• Tipo

• SourceSystem

• _ResourceId

• _SubscriptionId

• _ItemId

• _BilledSize

• _IsBillable

• _WorkspaceId

• TimeGenerated é substituído se tiver mais de dois dias. Para preservar a data e hora originais do evento, escreva o carimbo temporal original numa coluna separada.

Para consultar os limites do serviço, veja Limites do serviço de data lake do Microsoft Sentinel.

Nota

Os resultados parciais poderão ser disponibilizados se a consulta da tarefa exceder o limite de uma hora.

Parâmetros de serviço e limites para tarefas KQL

A tabela seguinte lista os parâmetros de serviço e os limites das tarefas KQL no Microsoft Sentinel data lake.

Nota

Todos os limites nesta tabela se aplicam por inquilino. Não existe um limite por utilizador. As tarefas KQL têm a sua própria quota de simultaneidade e não partilham contadores com consultas KQL.

Quando o limite de execução de tarefas simultâneas é excedido, o pedido é rejeitado e não está em fila. O contador diminui assim que uma tarefa em execução é concluída.

Categoria	Parâmetro/limite
Execução simultânea de trabalhos por inquilino	5
Tempo limite para execução da consulta da tarefa	1 hora
Tarefas por inquilino (tarefas ativadas)	100
Número de tabelas de saída por tarefa	1
Âmbito da consulta	Várias áreas de trabalho
Intervalo de tempo da consulta	Até 12 anos

Para obter sugestões de resolução de problemas e mensagens de erro, veja Resolução de problemas de consultas KQL para o Microsoft Sentinel data lake.

Conteúdos relacionados

• Gerir tarefas no data lake do Microsoft Sentinel
• descrição geral do data lake do Microsoft Sentinel
• Consultas KQL no data lake do Microsoft Sentinel
• Notebooks do Jupyter e o data lake do Microsoft Sentinel