Consultar logs na página de logs

Para o Microsoft Sentinel no portal do Defender, você tem várias opções para executar consultas KQL. Nesta unidade abordamos as duas seguintes opções:

• Página de caça avançada: a janela de consulta permite executar consultas, salvar consultas, executar consultas salvas, criar uma nova regra de alerta e exportar. Você também pode vincular um resultado a um incidente. O lado esquerdo fornece uma lista de tabelas e campos de tabela relacionados. Para executar uma consulta, insira o texto da consulta e pressione o botão Executar. Os resultados da consulta aparecem na seção inferior do formulário.
• Página de exploração do data lake: para executar consultas KQL interativas ad-hoc em dados de longo prazo.

1. Para usar a caça avançada, selecione Investigação e resposta>Caça>avançada.

   

2. Para usar a exploração do Data Lake, selecione Microsoft Sentinel>exploração do Data Lake>consultas KQL.

   

3. Selecione o espaço de trabalho apropriado no seletor de espaço de trabalho no menu superior.

   

Para o Microsoft Sentinel no portal do Azure, você executa consultas KQL na página Logs. A janela de consulta permite executar consultas, salvar consultas, executar consultas salvas, criar uma nova regra de alerta e exportar. O lado esquerdo fornece uma lista de tabelas e campos de tabela relacionados. Para executar uma consulta, insira o texto da consulta e pressione o botão Executar. Os resultados da consulta aparecem na seção inferior do formulário.

1. No menu de navegação, expanda a seção Geral e selecione Logs para abrir a janela de consulta.

2. A menos que você a desative, a página do hub Consultas será aberta com uma grande seleção de consultas de exemplo categorizadas.

   

   Observação

   Você pode impedir que a página do hub de Consultas apareça movendo o botão deslizante Sempre mostrar Hub de Consultas para a esquerda ou desligado.

3. Feche o hub Consultas selecionando o X no canto superior direito da página.

4. A página Nova consulta é aberta no modo Simples. Use o menu suspenso no canto superior direito da página para alternar para o modo KQL.

5. Introduza a sua consulta KQL no editor de consultas e, em seguida, selecione Executar para executar a consulta.

   

   Observação

   A captura de tela mostra os resultados com um conjunto específico de colunas selecionado. Você pode personalizar as colunas mostradas nos resultados selecionando o botão Colunas à direita do painel de resultados. Você também pode modificar a consulta para especificar as colunas que deseja ver nos resultados.