Journaux de requête sur la page journaux

Pour Microsoft Sentinel dans le portail Defender, vous avez plusieurs options pour exécuter des requêtes KQL. Dans cette unité, nous abordons les deux options suivantes :

• Page de repérage avancée : la fenêtre de requête vous permet d’exécuter des requêtes, d’enregistrer des requêtes, d’exécuter des requêtes enregistrées, de créer une règle d’alerte et d’exporter. Vous pouvez également lier un résultat à un incident. La partie gauche fournit une liste de tables et de champs de table associés. Pour exécuter une requête, entrez le texte de la requête et appuyez sur le bouton Exécuter. Les résultats de la requête s’affichent dans la section inférieure du formulaire.
• Page d'exploration du data lake : pour exécuter des requêtes KQL interactives ad hoc sur des données sur le long terme.

1. Pour utiliser la chasse avancée, sélectionnez Enquête et réponse, >, Chasse avancée.

   

2. Pour utiliser l’exploration des lacs de données, sélectionnez Microsoft Sentinel>Exploration des lacs de données> et requêtes KQL.

   

3. Sélectionnez l’espace de travail approprié dans le sélecteur d’espace de travail dans le menu supérieur.

   

Pour Microsoft Sentinel dans le portail Azure, vous exécutez des requêtes KQL sur la page Journaux. La fenêtre de requête vous permet d’exécuter des requêtes, d’enregistrer des requêtes, d’exécuter des requêtes enregistrées, de créer une nouvelle règle d’alerte et de l’exporter. La partie gauche fournit une liste de tables et de champs de table associés. Pour exécuter une requête, entrez le texte de la requête et appuyez sur le bouton Exécuter. Les résultats de la requête s’affichent dans la section inférieure du formulaire.

1. Dans le menu de navigation, développez la section Général , puis sélectionnez Journaux d’activité pour ouvrir la fenêtre de requête.

2. Sauf si vous l’avez désactivée, la page du hub requêtes s’ouvre avec une grande sélection d’exemples de requêtes classés.

   

   Note

   Vous pouvez empêcher l’affichage de la page du hub Requêtes en déplaçant le curseur Toujours afficher le hub Requêtes vers la gauche ou en désactivant l’option.

3. Fermez le hub Requêtes en sélectionnant le X dans le coin supérieur droit de la page.

4. La page Nouvelle requête s’ouvre en mode Simple. Utilisez le menu déroulant dans le coin supérieur droit de la page pour passer en mode KQL.

5. Entrez votre requête KQL dans l’éditeur de requête, puis sélectionnez Exécuter pour exécuter la requête.

   

   Note

   La capture d’écran montre les résultats avec un ensemble spécifique de colonnes sélectionné. Vous pouvez personnaliser les colonnes affichées dans les résultats en sélectionnant le bouton Colonnes à droite du volet de résultats. Vous pouvez également modifier la requête pour spécifier les colonnes que vous souhaitez afficher dans les résultats.