Scoprire il linguaggio delle query in Ricerca avanzata

Ricerca avanzata si basa sul linguaggio delle query in Esplora dati. È possibile usare operatori e istruzioni Kusto per costruire query che individuano informazioni in uno schema specializzato.

Guardare questo breve video per apprendere alcune utili nozioni di base sul linguaggio di query Kusto.

Per comprendere meglio questi concetti, eseguire la prima query.

Provare la prima query

Nel portale di Microsoft Defender passare a Ricerca per eseguire la prima query. Usare l'esempio seguente:

// Finds PowerShell execution events that could involve a download
union DeviceProcessEvents, DeviceNetworkEvents
| where Timestamp > ago(7d)
// Pivoting on PowerShell processes
| where FileName in~ ("powershell.exe", "powershell_ise.exe")
// Suspicious commands
| where ProcessCommandLine has_any("WebClient",
 "DownloadFile",
 "DownloadData",
 "DownloadString",
"WebRequest",
"Shellcode",
"http",
"https")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine,
FileName, ProcessCommandLine, RemoteIP, RemoteUrl, RemotePort, RemoteIPType
| top 100 by Timestamp

Eseguire questa query nella ricerca avanzata

Descrivere la query e specificare le tabelle da cercare

Un breve commento è stato aggiunto all'inizio della query per descrivere a cosa serve. Questo commento può essere d’aiuto dr In un secondo momento si decide di salvare la query e condividerla con altri utenti dell'organizzazione.

// Finds PowerShell execution events that could involve a download

La query stessa inizia in genere con un nome di tabella seguito da diversi elementi che iniziano con una pipe (|). In questo esempio si inizia creando un'unione di due tabelle, DeviceProcessEvents e DeviceNetworkEvents, e si aggiungono gli elementi con pipe in base alle esigenze.

union DeviceProcessEvents, DeviceNetworkEvents

Impostare l'intervallo di tempo

Il primo elemento con pipe è un filtro temporale con ambito per i sette giorni precedenti. Il mantenimento dell'intervallo di tempo il più possibile ravvicinato assicura che le query vengano eseguite correttamente, restituiscano risultati gestibili e non si verifichino timeout.

| where Timestamp > ago(7d)

Controllare processi specifici

L'intervallo di tempo è immediatamente seguito da una ricerca di nomi di file di processo che rappresentano l'applicazione PowerShell.

// Pivoting on PowerShell processes
| where FileName in~ ("powershell.exe", "powershell_ise.exe")

Cercare stringhe di comando specifiche

Successivamente, la query cerca le stringhe nelle righe di comando usate in genere per scaricare i file tramite PowerShell.

// Suspicious commands
| where ProcessCommandLine has_any("WebClient",
    "DownloadFile",
    "DownloadData",
    "DownloadString",
    "WebRequest",
    "Shellcode",
    "http",
    "https")

Personalizzare le colonne e la lunghezza dei risultati

Ora che la query identifica chiaramente i dati da individuare, è possibile definire come appaiono i risultati. project restituisce colonne specifiche e top limita il numero di risultati. Questi operatori consentono di garantire che i risultati siano ben formattati e ragionevolmente grandi e facili da elaborare.

| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine,
FileName, ProcessCommandLine, RemoteIP, RemoteUrl, RemotePort, RemoteIPType
| top 100 by Timestamp

Selezionare Esegui query per visualizzare i risultati.

Informazioni sugli operatori di query comuni

È stata appena eseguita la prima query e si ha un'idea generale dei relativi componenti. È il momento di fare un passo indietro e imparare alcune nozioni di base. Il linguaggio delle query di Esplora dati usato in Ricerca avanzata supporta una serie di operatori, di seguito sono elencati i più comuni.

Per vedere un esempio pratico di questi operatori, eseguirli nella sezione Introduzione in Ricerca avanzata.

Informazioni sui tipi di dati

La ricerca avanzata supporta i tipi di dati Kusto, inclusi i tipi comuni seguenti:

Per altre informazioni su questi tipi di dati, vedere Tipi di dati scalari Kusto.

Ottenere assistenza nella scrittura delle query

Trarre vantaggio dalle seguenti funzionalità per scrivere query più velocemente:

• Suggerimenti automatici : durante la scrittura di query, la ricerca avanzata fornisce suggerimenti da IntelliSense.
• Albero dello schema: viene fornita una rappresentazione dello schema che include l'elenco delle tabelle e le relative colonne accanto all'area di lavoro. Per altre informazioni, passare il puntatore su un elemento. Fare doppio clic su un elemento per inserirlo nell'editor di query.
• Informazioni di riferimento sullo schema : informazioni di riferimento nel portale con descrizioni di tabelle e colonne, nonché tipi di evento supportati (ActionType valori) e query di esempio

Usare più query nell'editor

È possibile usare l'editor di query per sperimentare più query. Per usare più query:

• Separare ogni query con una riga vuota.

• Posizionare il cursore su qualsiasi parte di una query per selezionarla prima di eseguirla. Verrà eseguita solo la query selezionata. Per eseguire un'altra query, spostare il cursore di conseguenza e selezionare Esegui query.

  

  Per un'area di lavoro più efficiente, è anche possibile usare più schede nella stessa pagina di ricerca. Selezionare Nuova query per aprire una scheda per la nuova query.

  

  È quindi possibile eseguire query diverse senza mai aprire una nuova scheda del browser.

  

Usare query di esempio

La sezione Introduzione presenta alcune semplici query che impiegano operatori di uso comune. Provare a eseguire queste query e apportare piccole modifiche.

Documentazione sulle query

Per altre informazioni sul linguaggio delle query di Esplora dati e sugli operatori supportati, vedere Documentazione sul linguaggio delle query di Esplora dati.

Argomenti correlati

• Panoramica della rilevazione avanzata
• Usare i risultati delle query
• Utilizzare le query condivise
• Cercare tra dispositivi, posta elettronica, app e identità
• Comprendere lo schema
• Applicare le procedure consigliate per le query