Условия и граница наблюдения
Сначала установите, о каком устройстве и времени задан вопрос. Зафиксируйте идентификатор устройства, имя на момент события, часовой пояс исходного обращения и источник начальной зацепки: алерт, заявка или журнал приложения. Таблица доступна при наличии данных Defender for Endpoint; одинаковое название портала не означает, что соответствующая служба развернута. Сверьте видимость устройства и разрешения своей учётной записи. Перед разбором сохраните текст запроса, период и число возвращённых строк, чтобы другой аналитик мог повторить именно эту выборку.
Как отобрать записи
Предложенный KQL читает одну таблицу, ограничивает временное окно и устройство, затем оставляет нужные столбцы. Учебные значения следует заменить фактическими. Фильтр времени KQL использует UTC; время в письме или интерфейсе сначала приведите к тому же основанию. Начинайте с устройства и периода, а ограничение по имени исполняемого файла добавляйте после просмотра контекста: переименование файла не меняет исследуемый вопрос. Если строк слишком много, сужайте окно обоснованно и записывайте причины, не выбирайте произвольную первую строку.
Разбор примера
В иллюстрации notepad.exe создан на учебном устройстве под учётной записью analyst.demo; explorer.exe указан как инициирующий процесс. Это две разные роли в одной строке. Числа ProcessId и InitiatingProcessId нельзя менять местами. Для проверки родителя ищите его собственную запись с учётом времени создания, а не только совпадения PID. Путь к notes.txt находится в командной строке: это ещё не свидетельство успешного чтения файла, изменения его содержимого или передачи данных. Пример сконструирован и не доказывает, что продукт зарегистрирует идентичный набор в любой сборке.
Какой вывод допустим
Сформулируйте узкий вывод: в доступной телеметрии присутствует такая строка с указанными атрибутами. Не превращайте имя администратора в установленного человека, а запуск штатной программы — в автоматический признак атаки. Проверьте роль узла, ожидаемую работу пользователя, родительскую цепочку и задачу изменения. Поля подписи инициатора относятся именно к инициатору; сведения о версии образа не равны проверке его цифровой подписи. Пробелы и расхождения фиксируйте отдельно от подтверждённых значений, не заполняйте отсутствующие столбцы догадками.
Следующий шаг
Для вопроса о сетевом действии перейдите к DeviceNetworkEvents того же устройства и близкого периода. Сопоставляйте инициирующий PID вместе со временем создания; строка соединения и строка запуска могут быть записаны в разные моменты. Для файлового действия потребуется отдельная телеметрия файла. Сохраните исходную строку рядом с рабочей интерпретацией, а связи пометьте как подтверждённые либо предполагаемые. Автоматическое объединение по имени процесса на разных устройствах даёт ложную цепочку.
Если записи нет
Проверьте правильность устройства и UTC-окна, доступ к данным, состояние подключения сенсора и срок хранения. Затем снимите фильтры имени файла или учётной записи по одному, сохраняя границу расследования. EDR не обещает запись каждой операции, а повторяющаяся активность может ограничиваться сенсором. Отсутствие строки следует описать как ограничение имеющегося набора. Не включайте или перенастраивайте защиту из этой карточки; вопрос о недостающей телеметрии передайте владельцу источника с периодом и ожидаемым событием. Если запрос завершился ошибкой доступа к таблице или устройству, сохраните текст ошибки и уточните доступ на чтение данных этого устройства в Defender RBAC у владельца сервиса. Ошибка доступа и успешно выполненный запрос с нулём строк — разные результаты.