Работа с расширенными результатами запросов охоты

Хотя вы можете создавать расширенные запросы охоты для получения точных сведений, вы также можете работать с результатами запроса, чтобы получить дополнительные сведения и исследовать конкретные действия и индикаторы. С результатами запроса можно выполнить следующие действия:

• Просмотр результатов в виде таблицы или диаграммы
• Экспорт таблиц и диаграмм
• Перейти к подробной информации о сущности
• Настройка запросов непосредственно из результатов
• Просмотр сведений о выполнении запроса и устранение ошибок
• Просмотреть временную шкалу событий

Просмотр результатов запроса в виде таблицы или диаграммы

По умолчанию при расширенной охоте результаты запроса отображаются в виде табличных данных. Вы также можете отобразить те же данные, что и диаграмма. Расширенная охота поддерживает следующие представления:

Создание запросов для эффективных диаграмм

При отрисовке диаграмм расширенная охота автоматически определяет интересующие столбцы и числовые значения для агрегирования. Чтобы получить осмысленные диаграммы, создайте запросы, возвращающие определенные значения, которые вы хотите визуализировать. Ниже приведены примеры запросов и результирующие диаграммы.

Пример диаграммы: Оповещения по степени тяжести

Используйте оператор summarize, чтобы получить количество значений в числовом виде, которые нужно отобразить на диаграмме. Следующий запрос считает оповещения по степени тяжести, чтобы вы могли визуализировать их распределение:

AlertInfo
| summarize Total = count() by Severity

При отображении результатов столбчатая диаграмма показывает каждый уровень серьезности в виде отдельного столбца. Вы также можете добавить оператор в render запрос, чтобы явно отобразить результаты в виде диаграммы столбцов:

AlertInfo
| summarize Total = count() by Severity
| render columnchart

Пример таблицы: фишинговые письма по десяти доменам отправителя

Если вы работаете со списком значений, которые не являются конечными, используйте top оператор, который возвращает только строки с наивысшим рейтингом по указанному столбцу, чтобы отобразить значения с наибольшим числом экземпляров. Например, следующий запрос суммирует события, связанные с фишингом, по домену отправителя и возвращает 10 самых распространённых источников:

EmailEvents
| where ThreatTypes has "Phish"
| summarize Count = count() by SenderFromDomain
| top 10 by Count

Используйте представление круговой диаграммы для эффективного отображения распределения по верхним доменам:

Пример диаграммы: Активность файлов во времени

Используя оператор summarize с функцией bin(), можно проверять события, связанные с определённым индикатором, с течением времени. Следующий поиск запросов между событиями файлов облачных приложений и устройств по активности, связанной с файлом invoice.doc, с учетом совпадений с интервалом в 30 минут, чтобы показать всплески активности:

CloudAppEvents
| union DeviceFileEvents
| where FileName == "invoice.doc"
| summarize FileCount = count() by bin(Timestamp, 30m)

На следующей линейной диаграмме четко выделены периоды времени с более высокой активностью, связанной с invoice.doc:

Экспорт таблиц и диаграмм

После выполнения запроса выберите Экспорт , чтобы сохранить результаты в локальном файле. Выбранное представление определяет, как экспортируются результаты:

• Представление таблицы. Результаты запроса экспортируются в табличном виде в виде книги Microsoft Excel.
• Любая диаграмма. Результаты запроса экспортируются в виде изображения отрисоченной диаграммы в формате JPEG.

Результаты фильтрации

После выполнения запроса выберите Фильтр , чтобы сузить результаты.

Чтобы добавить фильтр, выберите данные, которые нужно отфильтровать, установив один или несколько флажков. Затем нажмите Добавить.

Вы можете еще больше сузить результаты до конкретных данных, выбрав только что добавленный фильтр.

Выбор нового фильтра открывает выпадающее меню с возможными фильтрами, которые можно использовать. Выберите одно или несколько полей проверка, а затем нажмите кнопку Применить.

Убедитесь, что вы добавили нужные фильтры, проверив раздел Фильтры .

Детализация по результатам запроса

Вы можете просмотреть результаты в строке с помощью следующих функций:

• Разверните результат, щелкнув стрелку раскрывающегося списка слева от каждого результата.
• Если применимо, разверните сведения о результатах в формате JSON и массива, выбрав стрелку раскрывающегося списка слева от имени применимых столбцов, чтобы добавить удобочитаемость.
• Откройте боковую панель, чтобы просмотреть сведения о записи (одновременно с развернутыми строками).

Вы также можете щелкнуть правой кнопкой мыши любое результируемое значение в строке, чтобы использовать его для добавления дополнительных фильтров в существующий запрос или копирования значения для дальнейшего изучения.

Для полей JSON и массива можно щелкнуть правой кнопкой мыши и обновить существующий запрос, чтобы включить или исключить поле или расширить поле до нового столбца.

Чтобы быстро проверить запись в результатах запроса, выберите соответствующую строку, чтобы открыть панель Проверка записи . На панели отображаются следующие сведения на основе выбранной записи:

• Активы — сводное представление основных активов (почтовых ящиков, устройств и пользователей), обнаруженных в записи и дополненных доступной информацией, например уровнями риска и подверженности.
• Все сведения — все значения из столбцов в записи.

Чтобы просмотреть дополнительные сведения о конкретной сущности в результатах запроса, например компьютер, файл, пользователь, IP-адрес или URL-адрес, выберите идентификатор сущности, чтобы открыть страницу подробного профиля для этой сущности.

Корректируйте свои запросы по результатам

Выделите три точки справа от любого столбца на панели Проверка записи . Используйте параметры, чтобы:

• Явно искать выбранное значение (==)
• Исключить выбранное значение из запроса (!=)
• Получите более сложные операторы для добавления значения в запрос, например contains, starts withи ends with

Просмотр сведений о выполнении запроса и устранение ошибок

Просмотрите сведения о выполнении запроса, чтобы понять, почему запрос вел себя именно так, независимо от того, выполняется ли он успешно или завершается сбоем. Эта функция обеспечивает большую видимость выполнения запросов и помогает более эффективно устранять любые проблемы.

После выполнения запроса выберите Сведения о запросе над результатами запроса, чтобы открыть боковую панель:

На боковой панели Сведения о запросе выберите вкладки Обзор, Необработанные статистические данные и Ошибки, чтобы просмотреть разбивку по времени выполнения запроса, источник данных и область, использование ресурсов и другие сведения.

В случае сбоя запроса выберите Просмотреть полные сведения о запросе в нижней части сообщения об ошибке, чтобы открыть боковую панель Сведения о запросе . Сообщение об ошибке также может предоставить объяснение причины сбоя запроса и практические предложения по его исправлению.

Добавление элементов в избранное

Добавьте часто используемые схемы, функции, запросы и правила обнаружения в раздел Избранное каждой вкладки на странице расширенной охоты для быстрого доступа.

Например, чтобы добавить AlertInfo в избранное, перейдите на вкладку Схема , выберите три точки справа от таблицы и выберите Добавить в избранное.

Появится уведомление о том, что элемент был успешно добавлен в избранное.

То же самое можно сделать для сохраненных функций, запросов и пользовательских обнаружений в соответствующих разделах Избранное прямо на каждой вкладке (функции, запросы и правила обнаружения).

Автоматическая отрисовка временной шкалы

По умолчанию над расширенными результатами охоты отображается временная шкала, в котором отображается количество событий с течением времени. Временная шкала автоматически отрисовывается на основе столбца Timestamp или timeGenerated в результатах запроса. Он автоматически обновляется при применении фильтров и помогает быстро выявлять аномальное поведение и тенденции, а также сосредоточиться на интересных результатах.

Вы можете выбрать, следует ли отображать временная шкала по умолчанию в параметрах параметров диаграммы.

Временная шкала автоматически настраивает свое разрешение в зависимости от диапазона результатов.

Отфильтруйте результаты на временной шкале

Выберите любую точку на временной шкале, чтобы отфильтровать как результаты, так и временную шкалу по этому конкретному временному диапазону. Временная шкала также обновляет масштаб в соответствии с выбранным периодом времени. При фильтрации по определенному диапазону временная шкала увеличивается, чтобы отобразить распределение событий в высоком разрешении.

Разделить временную шкалу по значениям

На временной шкале можно разбить результаты по любому столбцу, который содержит не менее двух, но менее 50 уникальных значений.

Изменение типа диаграммы

Вы можете изменить тип диаграммы временной шкалы, выбрав другой вариант в раскрывающемся меню «Тип диаграммы». Доступные типы диаграмм:

• Линейный график
• Столбчатая диаграмма
• Круговая диаграмма

Условия отрисовки

Временная шкала отображается только в том случае, если результаты соответствуют следующим условиям:

• Ваши результаты содержат более 40 событий.
• Результаты включают столбец Timestamp или timeGenerated.

Связанные материалы

• Обзор расширенной охоты
• Изучение языка запросов
• Использование общих запросов
• Выполняйте поиск по устройствам, электронной почте, приложениям и учетным записям
• Сведения о схеме
• Применение рекомендаций по использованию запросов
• Обзор настраиваемых обнаружений