Выберите между интерактивным и расширенным режимами охоты в Microsoft Defender XDR

  • Применяется к: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Используйте управляемый и продвинутый режимы в продвинутой охоте

Чтобы найти расширенную страницу охоты, перейдите на левую панель навигации на портале Microsoft Defender и выберите Охота>Расширенная охота. Если панель навигации закрыта, выберите иконку охоты Скриншот иконки расширенной охоты в панели навигации портала Microsoft Defender.

На странице расширенной охоты поддерживаются два режима:

  • Интерактивный режим — выполнение запросов с помощью построителя запросов
  • Расширенный режим — выполнение запросов с помощью редактора запросов с помощью язык запросов Kusto (KQL)

Основное различие между двумя режимами заключается в том, что в интерактивном режиме не требуется, чтобы охотник знал KQL для запроса базы данных, в то время как расширенный режим требует знаний KQL.

Режим с подсказками включает конструктор запросов с наглядным и простым в использовании блочным интерфейсом для создания запросов с помощью раскрывающихся списков, содержащих доступные фильтры и условия. Чтобы использовать управляемый режим, см. статью Начало работы с управляемым режимом охоты.

В расширенном режиме есть область редактора запросов, в которой пользователи могут создавать запросы с нуля. Дополнительные сведения см. в статье Начало работы с расширенным режимом охоты.

Начало работы с режимом интерактивной охоты

Важно!

Некоторые сведения относятся к предварительным выпускам продуктов, которые могут быть существенно изменены до коммерческого выпуска. Корпорация Майкрософт не дает никаких гарантий, явных или подразумеваемых, относительно предоставленных здесь сведений.

Когда вы впервые откроете страницу расширенного поиска после того, как вам станет доступен управляемый режим (управляемый поиск), вам будет предложено пройти обзор, чтобы узнать больше о различных элементах страницы, таких как вкладки и области запросов.

Чтобы принять тур, выберите "Принять тур ", когда появится баннер приглашения на охоту:

Скриншот задания по охоте с гидом и опцией пройти экскурсию

Следуйте за синими обучающими пузырьками, которые появляются на странице, и выберите « Далее », чтобы продолжить экскурсию.

Вы можете в любое время снова пройти ознакомление, перейдя в Справочные ресурсы>Подробнее и выбрав Пройти ознакомление.

Снимок экрана меню ресурсов справки с параметрами «Подробнее» и «Обзорный тур»

Затем можно приступить к созданию запроса для поиска угроз. Следующие статьи помогут вам получить максимум от охоты в режиме с подсказками:

Цель обучения Описание Ресурс
Создание первого запроса Ознакомьтесь с основами построителя запросов, такими как указание домена данных и добавление условий и фильтров, которые помогут вам создать осмысленный запрос. Узнайте больше, выполнив примеры запросов. Создание запросов охоты в интерактивном режиме
Сведения о различных возможностях построителя запросов Ознакомьтесь с различными поддерживаемыми типами данных и возможностями интерактивного режима, которые помогут вам точно настроить запрос в соответствии с вашими потребностями. Уточнение запроса в пошаговом режиме
Узнайте, что можно делать с результатами запроса Ознакомьтесь с представлением "Результаты" и ознакомитесь с созданными результатами, например о том, как выполнить с ними действия или связать их с инцидентом. - Работа с результатами запроса в интерактивном режиме
- Выполнение действий с результатами запроса
- Связывание результатов запроса с инцидентом
Создание настраиваемых правил обнаружения Узнайте, как можно использовать расширенные поисковые запросы для автоматического запуска предупреждений и выполнения ответных действий. - Обзор пользовательских обнаружений
- Настраиваемые правила обнаружения

Начало работы с режимом расширенной охоты

Мы рекомендуем использовать следующие ресурсы обучения, чтобы быстро приступить к расширенной охоте:

Цель обучения Описание Ресурс
Изучение языка Расширенный поиск основан на языке запросов Kusto, поддерживающем тот же синтаксис и операторы. Начать изучение языка запросов можно, выполнив свой первый запрос. Сведения о языке запросов
Узнайте, как использовать результаты запроса Сведения о диаграммах и различных способах просмотра или экспорта результатов. Узнайте, как можно быстро изменять запросы, углубляться в данные для получения более подробной информации и предпринимать ответные действия. - Работа с результатами запроса в расширенном режиме
- Выполнение действий с результатами запроса
- Связывание результатов запроса с инцидентом
Сведения о схеме Формирование четкого и глубокого представления о таблицах схемы и входящих в них столбцах. Узнайте, где искать данные при построении запросов. - Справочник по схеме
- Переход от Microsoft Defender для конечной точки
Получите советы и примеры экспертов Тренируйтесь бесплатно с помощью руководств от экспертов Microsoft. Возможен поиск в коллекции предварительно настроенных запросов для использования при разных сценариев выслеживания угроз. - Обучение экспертов
- Использование общих запросов
- Быстро исследуйте объекты с помощью Go hunt
- Поиск угроз на устройствах, в сообщениях электронной почты, приложениях и идентификационных данных
Оптимизация запросов и обработка ошибок Узнайте, как создавать эффективные и безошибочные запросы. - Рекомендации по выполнению запросов
- Обработка ошибок
Создание настраиваемых правил обнаружения Узнайте, как можно использовать расширенные поисковые запросы для автоматического запуска предупреждений и выполнения ответных действий. - Обзор пользовательских обнаружений
- Настраиваемые правила обнаружения

См. также

Совет

Хотите узнать больше? Общайтесь с членами сообщества Microsoft Security в нашем техническом сообществе: Microsoft Defender XDR Tech Community.

  • Last updated on