Получите экспертную подготовку по расширенной охоте

Область применения:

• Microsoft Defender XDR

Быстро повысьте свои знания о расширенной охоте с помощью серии веб-трансляций для новых аналитиков безопасности и опытных охотников за угрозами. В этой серии описаны основные сведения о создании собственных сложных запросов. Начните с первого видео об основах или перейдите к более продвинутым видео, которые соответствуют вашему уровню опыта.

Получите больше экспертной подготовки с L33TSP3AK: Расширенная охота в Microsoft Defender XDR, серия веб-трансляций для аналитиков, желающих расширить свои технические знания и практические навыки в проведении расследований безопасности с помощью расширенной охоты в Microsoft Defender XDR.

Использование CSL-файла

Перед запуском эпизода перейдите к соответствующему текстовому файлу на GitHub и скопируйте его содержимое в расширенный редактор запросов охоты. Когда вы watch эпизоде, вы можете использовать скопированное содержимое, чтобы отслеживать говорящего и выполнять запросы.

В следующем фрагменте текстового файла, содержащего запросы, показан полный набор рекомендаций, помеченных как примечания с //помощью .

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

Один и тот же текстовый файл содержит запросы до и после комментариев, как показано ниже. Чтобы выполнить определенный запрос с несколькими запросами в редакторе, переместите курсор в этот запрос и выберите Выполнить запрос.

DeviceLogonEvents
| count

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

CloudAppEvents
| take 100
| sort by Timestamp desc

Другие ресурсы

Статьи по теме

• Обзор расширенной охоты
• Познакомьтесь с языком запросов расширенной охоты
• Работа с результатами запросов
• Использование общих запросов
• Охота на различных устройствах, в письмах, приложениях и удостоверениях
• Сведения о схеме
• Применение рекомендаций по использованию запросов