
説明
ボックス1: 参加
内部結合。
このクエリは kind=inner を使用して内部結合を指定し、DeviceId の左側の値の重複を防止します。
このクエリは、DeviceInfo テーブルを使用して、侵害の可能性があるユーザー (<account-name>) がデバイスにログオンしているかどうかを確認し、それらのデバイスでトリガーされたアラートを一覧表示します。
デバイス情報
// 侵害された可能性のあるアカウントがログオンしたデバイスを照会する
| LoggedOnUsers に '<アカウント名>' が含まれる
| 個別のデバイス ID
// AlertEvidence テーブルと AlertInfo テーブルのアラート レコードとデバイスをクロスチェックします
| DeviceId の kind=inner AlertEvidence に参加
| プロジェクトアラートID
//ユーザーがログオンしたデバイス上のすべてのアラートを一覧表示します
| AlertId の AlertInfo に参加
| プロジェクト AlertId、タイムスタンプ、タイトル、重大度、カテゴリ
DeviceInfo LoggedOnUsers AlertEvidence "プロジェクト AlertID"
ボックス2: プロジェクト
参照:
https://docs.microsoft.com/en-us/microsoft-365/security/defender/advanced-hunting-query-emails-devices?view