使用高级搜寻查询资源报表

适用于：

了解高级搜寻配额和使用参数

为了保持服务的性能和响应能力，高级搜寻设置各种配额和使用参数 (也称为“服务限制”) 。这些配额和参数分别应用于手动运行的查询和使用自定义检测规则运行的查询。定期运行多个查询的客户应注意这些限制，并应用优化最佳做法来最大程度地减少中断。

请参阅下表，了解现有配额和使用情况参数。

Quota 或参数	Size	刷新周期	说明
日期范围	30 天	每个查询	每个查询可以查找过去 30 天内的数据。
结果集	30,000 行	每个查询	每个查询最多可以返回 30,000 条记录。
Timeout	10 分钟	每个查询	每个查询最多可以运行 10 分钟。如果未在 10 分钟内完成，则服务将显示错误。
CPU 资源	基于租户大小	每 15 分钟	每当查询运行且租户已使用超过 10% 的已分配资源时，门户会显示错误。如果租户已达到 100%，查询将受到阻止，直到下一个 15 分钟周期。

注意

一组单独的配额和参数适用于通过 API 执行的高级搜寻查询。阅读有关高级搜寻 API 的信息

查询资源报表根据过去 30 天内使用任何搜寻接口运行的查询显示组织用于搜寻的 CPU 资源消耗情况。此报告有助于识别资源消耗量最大的查询，并了解如何防止由于过度使用而导致的限制。

可以通过两种方式访问报表：

但是，所有用户都可以访问报表，但只有Microsoft Entra全局管理员、Microsoft Entra安全管理员和Microsoft Entra安全读取者角色才能在所有界面中查看所有用户完成的查询。任何其他用户只能看到：

默认情况下，报表表显示过去一天的查询，并按资源使用情况排序，以帮助轻松确定哪些查询消耗了最高 CPU 资源量。

查询资源报表包含运行的所有查询，包括每个查询的详细资源信息：

提示

如果查询状态为 “失败”，则可以将字段悬停在一起以查看查询失败的原因。

资源使用率较高或查询时间较长的查询可以进行优化，以防止通过此接口进行限制。

该图显示每个接口随时间推移的资源使用情况。可以轻松识别过度使用，然后单击图形中的峰值以相应地筛选表。在图形中选择一个条目后，表格将筛选为该特定日期。

可以通过应用查询最佳做法或教育运行查询或创建规则的用户考虑查询效率和资源来识别当天使用最多资源的查询并采取措施进行改进。对于引导模式，用户需要切换到高级模式才能编辑查询。

该图支持两种视图：

查询资源报表的两种视图模式

这意味着，例如，如果你在特定日期运行了两个查询，其中一个使用了 50% 的资源，一个使用了 100%，则平均每日使用值将显示 75%，而每日使用率最高的查询将显示 100%。

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender XDR技术社区。