Уточнение запроса в пошаговом режиме

В этой статье объясняется, как уточнить запросы расширенного поиска угроз в управляемом режиме Microsoft Defender XDR. Узнайте, как использовать поддерживаемые типы данных, подгруппы, интеллектуальное автодополнение, фильтры типов событий, объёмы выборки, а также как переключаться из режима с подсказками в расширенный режим (KQL).

Использование разных типов данных

Расширенная охота в интерактивном режиме поддерживает несколько типов данных, которые можно использовать для точной настройки запроса.

• Числа
  

• Строки
  

  В поле произвольного текста введите значение и нажмите Enter, чтобы добавить его. Обратите внимание, что разделитель между значениями — ВВОД.
  

  

• Логический
  

• Дата и время
  

• Закрытый список. Вам не нужно запоминать точное значение, которое вы ищете. Вы можете легко выбрать один из предложенных закрытых списков, поддерживающих множественный выбор.
  

Использование подгрупп

Группы условий можно создать, щелкнув Добавить подгруппу:

Использование интеллектуального автозаполнения для поиска

Поддерживается интеллектуальное автозавершение для поиска устройств и учетных записей пользователей. Вам не нужно запоминать идентификатор устройства, полное имя устройства или имя учетной записи пользователя. Вы можете начать вводить первые несколько символов устройства или пользователя, которого вы ищете, и появится список, из которого можно выбрать нужные:

Используйте EventType

Вы даже можете искать конкретные типы событий, такие как все неудачные логоны, события модификации файлов или успешные сетевые соединения, используя фильтр EventType в любом разделе, где доступен фильтр EventType .

Например, если вы хотите добавить условие, которое ищет удаление значений реестра, перейдите в раздел События реестра и выберите EventType.

Если выбрать EventType в разделе События реестра, вы можете выбрать одно из различных событий реестра, включая то, которое вы ищете, RegistryValueDeleted.

Тестирование запроса с меньшим размером выборки

Если вы по-прежнему работаете над запросом и хотите быстро просмотреть его производительность и некоторые примеры результатов, измените количество возвращаемых записей, выбрав меньший набор в раскрывающемся меню Размер образца .

Размер выборки по умолчанию равен 10 000 результатов, что является максимальным числом записей, которые можно вернуть при охоте. Тем не менее, мы настоятельно рекомендуем уменьшить размер выборки до 10 или 100, чтобы быстро протестировать запрос, так как это позволяет потреблять меньше ресурсов, пока вы все еще работаете над улучшением запроса.

После завершения запроса и его использования для получения всех релевантных результатов для охоты убедитесь, что размер выборки установлен в 10 тыс. (максимальное значение).

Переключение в расширенный режим после создания запроса

Вы можете щелкнуть Изменить в KQL , чтобы просмотреть запрос KQL, созданный выбранными условиями. При редактировании в KQL откроется новая вкладка в расширенном режиме с соответствующим запросом KQL:

В примере запроса "Имя файла" и SHA256, показанном на предыдущем снимке экрана, выбранное представление имеет значение "Все", поэтому запрос KQL выполняет поиск по всем таблицам, имеющим свойства файла и SHA256, и во всех соответствующих столбцах, охватывающих эти свойства.

Если изменить представление на Emails & collaboration, запрос KQL, сгенерированный для имени файла и примера SHA256, сужается до:

Связанные материалы

• Расширенные квоты охоты и параметры использования
• Расширение расширенного охвата охоты с помощью правильных параметров