Zarządzanie listami obserwowanych w Microsoft Sentinel

  • Dotyczy: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Zalecamy edytowanie istniejącej listy obserwowanych zamiast usuwania i ponownego tworzenia listy obserwowanych. W usłudze Log Analytics czas SLA dotyczący pozyskiwania danych wynosi pięć minut. Jeśli usuniesz i ponownie utworzysz listę obserwowanych, w tym pięciominutowym oknie mogą zostać wyświetlone zarówno usunięte, jak i ponownie utworzone wpisy w usłudze Log Analytics. Jeśli widzisz te zduplikowane wpisy w usłudze Log Analytics przez dłuższy czas, utwórz zgłoszenie do pomocy technicznej.

Ważna

Po 31 marca 2027 r. Microsoft Sentinel nie będą już obsługiwane w Azure Portal i będą dostępne tylko w portalu Microsoft Defender. Wszyscy klienci korzystający z Microsoft Sentinel w Azure Portal zostaną przekierowane do portalu usługi Defender i będą używać Microsoft Sentinel tylko w portalu usługi Defender.

Jeśli nadal używasz Microsoft Sentinel w Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia płynnego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez Microsoft Defender.

Edytowanie elementu listy obserwowanych

Edytuj listę obserwowanych, aby edytować lub dodać element do listy obserwowanych.

  1. W przypadku Microsoft Sentinel w portalu usługi Defender wybierz pozycję Microsoft Sentinel>Konfiguracja>— lista obserwowanych. W Microsoft Sentinel w Azure Portal w obszarze Konfiguracja wybierz pozycję Lista obserwowanych.

  2. Wybierz listę obserwowanych, którą chcesz edytować.

  3. W okienku szczegółów wybierz pozycję Aktualizuj listę obserwowanych>Edytuj elementy listy obserwowanych.

    Zrzut ekranu przedstawiający opcję edycji listy obserwowanych w dolnej części okienka szczegółów.

  4. Aby edytować istniejący element listy obserwowanych,

    1. Zaznacz pole wyboru tego elementu listy obserwowanych.

    2. Edytuj element.

    3. Wybierz Zapisz.

      Zrzut ekranu przedstawiający sposób oznaczania i edytowania elementu listy obserwowanych.

    4. Wybierz pozycję Tak w wierszu potwierdzenia.

      Zrzut ekranu przedstawiający monit o potwierdzenie zmian.

  5. Aby dodać nowy element do listy obserwowanych,

    1. Wybierz pozycję Dodaj nową.

      Zrzut ekranu przedstawiający nowy przycisk w górnej części strony edytowania elementów listy obserwowanych.

    2. Wypełnij pola panelu Dodaj element listy obserwowanych .

    3. W dolnej części tego panelu wybierz pozycję Dodaj.

Zbiorcze aktualizowanie listy obserwowanych

Jeśli masz wiele elementów do dodania do listy obserwowanych, użyj aktualizacji zbiorczej. Zbiorcza aktualizacja listy obserwowanych dołącza elementy do istniejącej listy obserwowanych. Następnie usuwa duplikaty elementów na liście obserwowanych, gdzie wszystkie wartości w każdej kolumnie są zgodne.

Jeśli usunąłeś element z pliku listy obserwowanej i wgrałeś plik, masowa aktualizacja nie usunie elementu z istniejącej listy obserwowanej. Usuń element z listy obserwowanych pojedynczo. Albo, jeśli masz dużo elementów do usunięcia, usuń i ponownie utwórz listę obserwowanych elementów.

Zaktualizowany plik listy obserwacyjnej, który przesyłasz, musi zawierać pole klucza wyszukiwania używane przez listę obserwacyjną, bez pustych wartości.

Aby zbiorczo zaktualizować listę obserwacyjną,

  1. W Microsoft Sentinel w Azure Portal w obszarze Konfiguracja wybierz pozycję Lista obserwowanych.
    W przypadku Microsoft Sentinel w portalu usługi Defender wybierz pozycję Microsoft Sentinel>Konfiguracja>— lista obserwowanych.

  2. Wybierz listę obserwowanych, którą chcesz edytować.

  3. Na panelu szczegółów wybierz pozycję Aktualizuj listę obserwowanych>Aktualizacja zbiorcza.

    Zrzut ekranu przedstawiający opcję aktualizacji zbiorczej w dolnej części okienka szczegółów.

  4. W obszarze Przekaż plik przeciągnij i upuść lub przejdź do pliku, aby go przekazać.

    Zrzut ekranu strony źródłowej kreatora listy obserwacyjnej, na której wybiera się plik do przesłania, a pole klucza wyszukiwania jest wyłączone.

  5. Jeśli wystąpi błąd, rozwiąż problem w pliku. Następnie wybierz pozycję Resetuj i spróbuj ponownie przekazać plik.

  6. Wybierz pozycję Dalej: Przejrzyj i zaktualizuj>Aktualizuj.

Zawartość pokrewna

Aby dowiedzieć się więcej na temat Microsoft Sentinel, zobacz następujące artykuły:

  • Last updated on