Познакомьтесь с языком запросов расширенной охоты

Расширенный поиск основывается на языке запросов Kusto. Операторы и инструкции Kusto можно использовать для создания запросов, которые находят сведения в специализированной схеме.

Посмотрите это короткое видео, чтобы узнать некоторые удобные основы языка запросов Kusto.

Чтобы лучше понять эти концепции, запустите ваш первый запрос.

Попробуйте выполнить первый запрос

На портале Microsoft Defender перейдите в раздел Охота, чтобы выполнить первый запрос. Используйте следующий пример:

// Finds PowerShell execution events that could involve a download
union DeviceProcessEvents, DeviceNetworkEvents
| where Timestamp > ago(7d)
// Pivoting on PowerShell processes
| where FileName in~ ("powershell.exe", "powershell_ise.exe")
// Suspicious commands
| where ProcessCommandLine has_any("WebClient",
 "DownloadFile",
 "DownloadData",
 "DownloadString",
"WebRequest",
"Shellcode",
"http",
"https")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine,
FileName, ProcessCommandLine, RemoteIP, RemoteUrl, RemotePort, RemoteIPType
| top 100 by Timestamp

Выполнение этого запроса в расширенной охоте

Описание запроса и указание таблиц для поиска

В начале запроса добавлен короткий комментарий, описывающий, для чего он предназначен. Этот комментарий будет полезным, если впоследствии вы решите сохранить запрос и поделиться им с другими пользователями в вашей организации.

// Finds PowerShell execution events that could involve a download

Сам запрос обычно начинается с имени таблицы, за которой следует несколько элементов, которые начинаются с канала (|). В этом примере мы начнем с создания объединения из двух таблиц и DeviceProcessEvents , и DeviceNetworkEventsдобавим по конвейеру элементы по мере необходимости.

union DeviceProcessEvents, DeviceNetworkEvents

Установка диапазона времени

Первый элемент с каналом — это фильтр времени, ограниченный до предыдущих семи дней. Ограничение временного диапазона гарантирует, что запросы работают хорошо, возвращают управляемые результаты и не превышают времени ожидания.

| where Timestamp > ago(7d)

Проверка определенных процессов

За диапазоном времени сразу же следует поиск имен файлов процесса, представляющих приложение PowerShell.

// Pivoting on PowerShell processes
| where FileName in~ ("powershell.exe", "powershell_ise.exe")

Поиск определенных командных строк

Затем запрос ищет строки в командных строках, которые обычно используются для скачивания файлов с помощью PowerShell.

// Suspicious commands
| where ProcessCommandLine has_any("WebClient",
    "DownloadFile",
    "DownloadData",
    "DownloadString",
    "WebRequest",
    "Shellcode",
    "http",
    "https")

Настройка результирующих столбцов и длины

Теперь, когда запрос четко определяет данные, которые вы хотите найти, вы можете определить, как будут выглядеть результаты. project возвращает определенные столбцы и top ограничивает количество результатов. Эти операторы помогают гарантировать, что результаты хорошо отформатированы и достаточно велики и просты в обработке.

| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine,
FileName, ProcessCommandLine, RemoteIP, RemoteUrl, RemotePort, RemoteIPType
| top 100 by Timestamp

Выберите Выполнить запрос , чтобы просмотреть результаты.

Общие операторы запросов

Вы только что выполнили первый запрос и получили общее представление о его компонентах. Пришло время немного отступить и узнать некоторые основы. Язык запросов Kusto, используемый в расширенной охоте, поддерживает ряд операторов, включая обычные, описанные ниже.

Чтобы просмотреть реальные примеры этих операторов, запустите их из пункта Начать работу в разделе Расширенная охота.

Общие сведения о типах данных

Расширенная охота поддерживает типы данных Kusto, включая следующие распространенные типы:

Дополнительные сведения об этих типах данных см. в статье Скалярные типы данных Kusto.

Помощь при написании запросов

Ниже перечислены функции, благодаря которым запросы можно создавать быстрее.

• Автозаполнения — при написании запросов расширенная охота предоставляет предложения от IntelliSense.
• Дерево схем — представление схемы, включающее список таблиц и их столбцов, предоставляется рядом с рабочей областью. Чтобы получить об элементе дополнительные сведения, нужно навести на него указатель мыши. Чтобы вставить элемент в редактор запросов, нужно дважды щелкнуть по нему.
• Справочник по схеме — справочник на портале с описаниями таблиц и столбцов, а также поддерживаемыми типами событий (ActionType значениями) и примерами запросов

Работа с несколькими запросами в редакторе

Редактор запросов можно использовать для экспериментов с несколькими запросами. Чтобы использовать несколько запросов, выполните следующие действия:

• Разделите каждый запрос пустой строкой.

• Поместите курсор на любую часть запроса, чтобы выбрать этот запрос перед его выполнением. При этом будет выполняться только выбранный запрос. Чтобы выполнить другой запрос, переместите курсор соответствующим образом и выберите Выполнить запрос.

  

  Для более эффективной рабочей области можно также использовать несколько вкладок на одной странице поиска. Выберите Новый запрос , чтобы открыть вкладку для нового запроса.

  

  Затем можно выполнять различные запросы, не открывая новую вкладку браузера.

  

Использование примеров запросов

Раздел Начало работы содержит несколько простых запросов, использующих часто используемые операторы. Попробуйте выполнить эти запросы и внести в них небольшие изменения.

Документация по языку условий запросов

Дополнительные сведения о языке запросов Kusto и поддерживаемых операторах см. в статье Документация по языку запросов Kusto.

Статьи по теме

• Обзор расширенной охоты
• Работа с результатами запросов
• Использование общих запросов
• Охота на различных устройствах, в письмах, приложениях и удостоверениях
• Сведения о схеме
• Применение рекомендаций по использованию запросов