Получите экспертную подготовку по расширенной охоте

Быстро повысьте свои знания в области углублённого поиска угроз с Tracking the adversary, серией вебинаров для начинающих аналитиков по безопасности и опытных специалистов по поиску угроз. Эта серия поможет вам пройти путь от основ до создания собственных сложных запросов. Начните с первого видео об основах или перейдите к более продвинутым видео, которые соответствуют вашему уровню опыта.

Получите больше экспертной подготовки с L33TSP3AK: Расширенная охота в Microsoft Defender XDR, серия веб-трансляций для аналитиков, желающих расширить свои технические знания и практические навыки в проведении расследований безопасности с помощью расширенной охоты в Microsoft Defender XDR.

Использование CSL-файла

Перед запуском эпизода перейдите к соответствующему текстовому файлу на GitHub и скопируйте его содержимое в расширенный редактор запросов охоты. Во время просмотра эпизода вы можете использовать скопированное содержимое для отслеживания говорящего и выполнения запросов.

В следующем фрагменте текстового файла, содержащего запросы, показан полный набор указаний, помеченных как комментарии с помощью //.

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

Один и тот же текстовый файл содержит запросы до и после комментариев, как показано ниже. Чтобы выполнить определенный запрос с несколькими запросами в редакторе, переместите курсор в этот запрос и выберите Выполнить запрос.

DeviceLogonEvents
| count

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

CloudAppEvents
| take 100
| sort by Timestamp desc

Другие ресурсы

Статьи по теме

• Обзор расширенной охоты
• Познакомьтесь с языком запросов расширенной охоты
• Работа с результатами запросов
• Использование общих запросов
• Выполняйте поиск по устройствам, электронной почте, приложениям и учетным записям
• Сведения о схеме
• Применение рекомендаций по использованию запросов