Поделиться через

Запросы к таблице списка наблюдения

  • Статья

Сведения об использовании этих запросов в портале Azure см. в руководстве по Log Analytics. Сведения о REST API см. в разделе "Запрос".

Получить псевдонимы списка наблюдения

Возвращает уникальный список всех псевдонимов Watchlist в рабочей области.

Watchlist
| where _DTItemType == "Watchlist"
| where _DTTimestamp > ago(5d)
| distinct WatchlistAlias

Поиск событий с использованием списка наблюдения

Поиск событий в таблице Heartbeat по данным из списка наблюдения, рассматривая список наблюдения как таблицу для соединений и проверок.

Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist')
 on $left.ComputerIP == $right.SearchKey
 | limit 100