Можно ли создавать предупреждения о работоспособности источника журнала в Azure Sentinel? - PullRequest
Новая
       155

Можно ли создавать предупреждения о работоспособности источника журнала в Azure Sentinel?

0 голосов
/ 16 июня 2020

Я пытаюсь создать предупреждение, которое позволит мне узнать, прекращает ли источник данных предоставлять журналы для Sentinel. Хотя я знаю, что он отображает аномалии в данных журнала на плате da sh, я надеюсь получать предупреждения, если источник прекращает предоставлять журналы в течение длительного периода времени.

1 Ответ

0 голосов
/ 29 июня 2020

Что-то вроде создания правила со следующим запросом (в данном случае CEF): 

    CommonSecurityLog
    | where TimeGenerated > ago(24h)
    | summarize count() by DeviceVendor, DeviceProduct, DeviceName, DeviceExternalID
    | where count_ == 0
...