Sentinel-Queries 项目使用教程

Sentinel-Queries 项目使用教程

Sentinel-Queries Collection of KQL queries 项目地址: https://gitcode.com/gh_mirrors/se/Sentinel-Queries

1. 项目目录结构及介绍

Sentinel-Queries 是一个开源项目，主要包含了用于 Microsoft Sentinel 的 KQL（Kusto Query Language）查询。以下是该项目的目录结构及文件介绍：

Sentinel-Queries/
├── Active Directory/
│   └── ... # 活动目录相关的KQL查询
├── Azure AD Abuse Detection/
│   └── ... # Azure AD滥用检测相关的KQL查询
├── Azure Active Directory/
│   └── ... # Azure Active Directory相关的KQL查询
├── Azure Activity/
│   └── ... # Azure活动相关的KQL查询
├── Azure Bastion/
│   └── ... # Azure Bastion相关的KQL查询
├── Azure Diagnostics/
│   └── ... # Azure诊断相关的KQL查询
├── Azure Key Vault/
│   └── ... # Azure Key Vault相关的KQL查询
├── Azure Resource Graph/
│   └── ... # Azure资源图表相关的KQL查询
├── Azure Sentinel Incidents/
│   └── ... # Azure Sentinel事件相关的KQL查询
├── CISA Insights/
│   └── ... # CISA洞察相关的KQL查询
├── DNS/
│   └── ... # DNS相关的KQL查询
├── Data Management/
│   └── ... # 数据管理相关的KQL查询
├── Defender for Cloud Apps/
│   └── ... # 云应用防御相关的KQL查询
├── Defender for Endpoint/
│   └── ... # 端点防御相关的KQL查询
├── Defender for Identity/
│   └── ... # 身份防御相关的KQL查询
├── Diagrams/
│   └── ... # 图表相关的文件
├── Functions/
│   └── ... # 函数相关的KQL查询
├── Heartbeat/
│   └── ... # 心跳相关的KQL查询
├── Information Protection/
│   └── ... # 信息保护相关的KQL查询
├── Intune/
│   └── ... # Intune相关的KQL查询
├── Log Analytics/
│   └── ... # 日志分析相关的KQL查询
├── Office 365/
│   └── ... # Office 365相关的KQL查询
├── Query Pack/
│   └── ... # 查询包相关的KQL查询
├── Security Alert/
│   └── ... # 安全警报相关的KQL查询
├── Sentinel vs Advanced Hunting/
│   └── ... # Sentinel与高级狩猎的比较相关的KQL查询
├── UEBA/
│   └── ... # 用户和实体行为分析相关的KQL查询
├── Windows Security Events/
│   └── ... # Windows安全事件相关的KQL查询
├── Workbooks/
│   └── ... # 工作簿相关的KQL查询
├── AWS-PublicIPAddedtoInstance.kql
├── Anamoly-HigherThanExpectedSysLog.kql
├── Duo-LogParserwithIdentityInfo.kql
├── LICENSE
├── README.md
└── ... # 其他KQL查询文件

每个子目录包含了特定领域的 KQL 查询文件，这些查询可以用来检索和分析 Microsoft Sentinel 中的数据。

2. 项目的启动文件介绍

在 Sentinel-Queries 项目中，并没有特定的启动文件，因为这是一个包含 KQL 查询的静态资源库。要使用这些查询，你需要将它们导入到 Microsoft Sentinel 或其他支持 KQL 的环境中。

3. 项目的配置文件介绍

同样地，Sentinel-Queries 项目中没有配置文件。每个 KQL 查询文件都是独立的，可以直接在支持 KQL 的查询窗口中运行。如果你需要配置特定的查询参数，你可以在 KQL 查询中直接修改相应的参数值。

使用这些查询时，请确保你已经在 Microsoft Sentinel 或其他兼容的环境中配置了必要的数据源和权限。

Sentinel-Queries Collection of KQL queries 项目地址: https://gitcode.com/gh_mirrors/se/Sentinel-Queries