Как начать работать с расследованиями

В этом руководстве вы создадите расследование и выполните первый запрос на языке KQL (Kusto Query Language).

Перед началом работыПеред началом работы

Раздел YCDR появится в интерфейсе Security Deck после одобрения заявки на доступ.

Для работы с расследованиями вам потребуется роль ycdr.admin.

Создайте расследованиеСоздайте расследование

1. Перейдите в сервис Security Deck.
2. На панели слева выберите YCDR.
3. Перейдите на вкладку Расследования.
4. Нажмите Новое расследование.
5. Введите название расследования, например: Анализ неудачных входов.
6. В поле Описание добавьте описание: Поиск неудачных попыток входа в консоль за последние 30 минут.

Создайте запросСоздайте запрос

1. В редакторе запросов введите следующий KQL-запрос:

   Events
   | project event_class, ['time']
   | limit 1
   

   Этот запрос:

   • выбирает события из таблицы Events;
   • отображает поля event_class и time;
   • ограничивает результат одной записью.

2. Выберите временной период Последние 30 минут.

3. Нажмите кнопку запуска запроса.

Проанализируйте результатыПроанализируйте результаты

После выполнения запроса результаты отображаются в таблице с полями:

• event_class — класс события;
• time — время события.

Это простой пример запроса для проверки работоспособности сервиса. Для более сложного анализа используйте другие запросы и фильтры.

Что дальшеЧто дальше

• Узнайте больше о расследованиях и запросах.
• Научитесь управлять расследованиями.
• Изучите работу с запросами.
• Изучите справочник KQL.