你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn。
在 Microsoft Sentinel 中管理播放列表
我们建议你编辑现有的播放列表,而不是删除并重新创建播放列表。 对于数据引入,日志分析具有五分钟的 SLA。 如果删除并重新创建监视列表,你可能会在该五分钟时间内看到 Log Analytics 中已删除和重新创建的条目。 如果你长时间在 Log Analytics 中看到这些相同条目,请提交支持票证。
重要
Microsoft Sentinel 已在 Microsoft Defender 门户的 Microsoft 统一安全运营平台中正式发布。 对于预览版,Microsoft Sentinel 在 Defender 门户中提供,无需 Microsoft Defender XDR 或 E5 许可证。 有关详细信息,请参阅 Microsoft Defender 门户中的 Microsoft Sentinel。
编辑监视列表,以编辑项目或将项目添加到监视列表。
对于 Azure 门户中的 Microsoft Sentinel,在“配置”下选择“监视列表”。
对于 Defender 门户中的 Microsoft Sentinel,请选择“Microsoft Sentinel”>“配置”>“监视列表”。选择要编辑的监视列表。
在详细信息窗格中,选择“更新播放列表”>“编辑播放列表项”。
若要编辑现有的播放列表项,
请选中该监视列表项的复选框。
编辑项。
选择“保存”。
在出现确认提示时单击“是”。
若要将新项添加到播放列表,
选择“添加新订阅”。
填写“添加监视列表项”面板的字段。
在面板底部选择“添加”。
如果要添加到播放列表的项很多,请使用批量更新。 批量更新播放列表会将项追加到现有播放列表。 然后,它会对播放列表中的项进行重复数据删除,其中每个列中的所有值都匹配。
如果已从播放列表文件中删除某个项并将其上传,则批量更新将不会删除现有播放列表中的项。 单独删除播放列表项。 或者,如果删除很多项,请删除播放列表并重新创建。
上传的更新播放列表文件必须包含播放列表使用的搜索关键字字段,而不包含空值。
若要批量更新播放列表,
对于 Azure 门户中的 Microsoft Sentinel,在“配置”下选择“监视列表”。
对于 Defender 门户中的 Microsoft Sentinel,请选择“Microsoft Sentinel”>“配置”>“监视列表”。选择要编辑的监视列表。
在详细信息窗格中,选择“更新播放列表”>“批量更新”。
在“上传文件”下,拖放或浏览到要上传的文件。
如果遇到错误,请修复文件中的问题。 然后选择“重置”,并尝试再次上传文件。
选择“下一步: 审阅并更新”>“更新”。
若要详细了解 Microsoft Sentinel,请参阅以下文章: