Obter formação especializada em investigação avançada

Aplica-se a:

• Microsoft Defender XDR

Aumente o seu conhecimento de investigação avançada rapidamente com Tracking the adversary, uma série webcast para novos analistas de segurança e caçadores de ameaças experientes. A série orienta-o ao longo das noções básicas até à criação das suas próprias consultas sofisticadas. Comece com o primeiro vídeo sobre noções básicas ou avance para vídeos mais avançados que se adequam ao seu nível de experiência.

Obtenha mais formação especializada com L33TSP3AK: Investigação avançada em Microsoft Defender XDR, uma série de webcast para analistas que procuram expandir os seus conhecimentos técnicos e competências práticas na realização de investigações de segurança com investigação avançada em Microsoft Defender XDR.

Como utilizar o ficheiro CSL

Antes de iniciar um episódio, aceda ao ficheiro de texto correspondente no GitHub e copie os respetivos conteúdos para o editor de consultas de investigação avançada. À medida que watch um episódio, pode utilizar os conteúdos copiados para seguir o orador e executar consultas.

O seguinte excerto de um ficheiro de texto que contém as consultas mostra um conjunto abrangente de orientações marcadas como comentários com //.

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

O mesmo ficheiro de texto inclui consultas antes e depois dos comentários, conforme mostrado abaixo. Para executar uma consulta específica com várias consultas no editor, mova o cursor para essa consulta e selecione Executar consulta.

DeviceLogonEvents
| count

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

CloudAppEvents
| take 100
| sort by Timestamp desc

Outros recursos

Tópicos relacionados

• Descrição geral da investigação avançada
• Aprender a linguagem de consulta de investigação avançada
• Trabalhar com resultados de consulta
• Utilizar consultas partilhadas
• Procurar entre dispositivos, e-mails, aplicações e identidades
• Compreender o esquema
• Aplicar melhores práticas de consulta