Consulta de registros en la página de registros

Para Microsoft Sentinel en el portal de Defender, tiene varias opciones para ejecutar consultas KQL. En esta unidad se tratan las dos opciones siguientes:

• Página de búsqueda avanzada: la ventana de consulta permite ejecutar consultas, guardar consultas, ejecutar consultas guardadas, crear una nueva regla de alertas y exportarlas. También puede vincular un resultado a un incidente. El lado izquierdo proporciona una lista de tablas y campos de tabla relacionados. Para ejecutar una consulta, escriba el texto de la consulta y presione el botón Ejecutar. Los resultados de la consulta aparecen en la sección inferior del formulario.
• Página de exploración del lago de datos: para ejecutar consultas KQL interactivas ad hoc en datos a largo plazo.

1. Para usar búsqueda avanzada, seleccione Investigación y búsqueda de respuestas>>búsqueda avanzada.

   

2. Para usar la exploración del lago de datos, seleccione Microsoft Sentinel>Exploración del lago de datos>Consultas KQL.

   

3. Seleccione el área de trabajo adecuada en el selector del área de trabajo en el menú superior.

   

Para Microsoft Sentinel en el portal de Azure, ejecuta consultas KQL en la página de Registros. La ventana de consulta permite ejecutar consultas, guardar consultas, ejecutar consultas guardadas, crear una nueva regla de alertas y exportar. El lado izquierdo proporciona una lista de tablas y campos de tabla relacionados. Para ejecutar una consulta, escriba el texto de la consulta y presione el botón Ejecutar. Los resultados de la consulta aparecen en la sección inferior del formulario.

1. En el menú de navegación, expanda la sección General y, a continuación, seleccione Registros para abrir la ventana de consulta.

2. A menos que lo deshabilite, la página Centro de consultas se abre con una gran selección de consultas de ejemplo clasificadas.

   

   Nota:

   Para evitar que aparezca la página del Hub de Consultas, mueva el control deslizante Mostrar siempre el Hub de Consultas hacia la izquierda o apáguelo.

3. Cierre el centro de consultas seleccionando la X en la esquina superior derecha de la página.

4. La página Nueva consulta se abre en modo simple. Use el menú desplegable de la esquina superior derecha de la página para cambiar al modo KQL.

5. Escriba la consulta KQL en el editor de consultas y seleccione Ejecutar para ejecutar la consulta.

   

   Nota:

   En la captura de pantalla se muestran los resultados con un conjunto específico de columnas seleccionadas. Puede personalizar las columnas que se muestran en los resultados seleccionando el botón Columnas situado a la derecha del panel de resultados. También puede modificar la consulta para especificar las columnas que desea ver en los resultados.