Obtenir une formation d’expert sur la chasse avancée

S’applique à :

• Microsoft Defender XDR

Améliorez rapidement vos connaissances en matière de chasse avancée grâce au suivi de l’adversaire, une série de diffusions web destinée aux nouveaux analystes de sécurité et aux chasseurs de menaces chevronnés. La série vous guide à travers les principes de base jusqu’à la création de vos propres requêtes sophistiquées. Commencez par la première vidéo sur les principes de base ou passez à des vidéos plus avancées qui correspondent à votre niveau d’expérience.

Obtenez une formation plus approfondie avec L33TSP3AK : Advanced hunting in Microsoft Defender XDR, une série de diffusion web pour les analystes qui cherchent à développer leurs connaissances techniques et leurs compétences pratiques dans la conduite d’enquêtes de sécurité à l’aide de la chasse avancée dans Microsoft Defender XDR.

Comment utiliser le fichier CSL

Avant de commencer un épisode, accédez au fichier texte correspondant sur GitHub et copiez son contenu dans l’éditeur de requête de repérage avancé. Lorsque vous watch un épisode, vous pouvez utiliser le contenu copié pour suivre l’orateur et exécuter des requêtes.

L’extrait suivant d’un fichier texte contenant les requêtes montre un ensemble complet d’instructions marquées comme des commentaires avec //.

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

Le même fichier texte inclut des requêtes avant et après les commentaires, comme indiqué ci-dessous. Pour exécuter une requête spécifique avec plusieurs requêtes dans l’éditeur, déplacez le curseur vers cette requête et sélectionnez Exécuter la requête.

DeviceLogonEvents
| count

// DeviceLogonEvents
// A table containing a row for each logon a device enrolled in Microsoft Defender for Endpoint
// Contains
// - Account information associated with the logon
// - The device which the account logged onto
// - The process which performed the logon
// - Network information (for network logons)
// - Timestamp

CloudAppEvents
| take 100
| sort by Timestamp desc

Autres ressources

Voir aussi

• Vue d’ensemble du repérage avancé
• Découvrir le langage de requête de repérage avancé
• Utiliser les résultats d’une requête
• Utiliser des requêtes partagées
• Repérer des menaces sur les appareils, les e-mails, les applications et les identités
• Comprendre le schéma
• Appliquer les meilleures pratiques de requête