培训
认证
Microsoft Certified: Security Operations Analyst Associate - Certifications
使用 Microsoft Sentinel、Microsoft Defender for Cloud 和 Microsoft 365 Defender 调查、搜索和缓解威胁。
你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn。
如果在调查时你需要在七年前的日志中查找特定的事件,可以使用搜索作业。 可以在所有日志中搜索事件,包括分析、基本计划和存档日志计划中的事件。 筛选并查找符合条件的事件。
有关搜索作业概念和限制的详细信息,请参阅通过搜索大型数据集开始调查和在 Azure Monitor 中搜索作业。
对某些数据集运行搜索作业可能会产生额外的费用。 有关详细信息,请参阅 Microsoft Sentinel 定价页。
重要
Microsoft Sentinel 已在 Microsoft Defender 门户的 Microsoft 统一安全运营平台中正式发布。 对于预览版,Microsoft Sentinel 已在 Defender 门户中可用,并且无需 Microsoft Defender XDR 或 E5 许可证。 有关详细信息,请参阅 Microsoft Defender 门户中的 Microsoft Sentinel。
在 Azure 门户或 Microsoft Defender 门户的 Microsoft Sentinel 中转到“搜索”以输入搜索条件。 搜索时间根据目标数据集的大小而异。 虽然大多数搜索作业只需几分钟即可完成,但也支持对巨型数据集的搜索,这种搜索最长需要运行 24 小时。
对于 Azure 门户中的 Microsoft Sentinel,请在“常规”下选择“搜索”。
对于 Defender 门户中的 Microsoft Sentinel,请选择“Microsoft Sentinel”>“搜索”。
选择“表”菜单并选择一个表用于搜索。
在“搜索”框中输入搜索词。
选择“开始”打开高级 Kusto 查询语言 (KQL) 编辑器,并预览所设置时间范围内的结果。
根据需要更改 KQL 查询,然后选择“运行”以获取搜索结果的更新预览。
如果对查询和搜索结果预览感到满意,请选择省略号“...”并打开“搜索作业模式”。
选择适当的“期限”。
解决编辑器中以红色波浪线指示的任何 KQL 问题。
准备好启动搜索作业后,选择“搜索作业”。
输入新的表名以存储搜索作业结果。
选择“运行搜索作业”。
等待出现通知“搜索作业已完成”,以查看结果。
通过进入“已保存搜索”选项卡查看搜索作业的状态和结果。
在 Microsoft Sentinel 中,选择“搜索”>“已保存的搜索”。
在搜索卡上,选择“查看搜索结果”。
默认情况下,会看到与原始搜索条件匹配的所有结果。
若要细化从搜索表返回的结果列表,请选择“添加筛选器”。
在查看搜索作业结果时,可以选择“添加书签”或选择书签图标以保存某行。 添加书签可以标记事件、添加笔记,并将这些事件附加到某个事件供以后参考。
选择“列”按钮,并选中要添加到结果视图的列旁边的复选框。
添加“已加入书签”筛选器以便仅显示保存的条目。
选择“查看所有书签”转到“搜寻”页,可在其中为现有事件添加书签。
若要了解详细信息,请参阅以下文章。
培训
认证
Microsoft Certified: Security Operations Analyst Associate - Certifications
使用 Microsoft Sentinel、Microsoft Defender for Cloud 和 Microsoft 365 Defender 调查、搜索和缓解威胁。