Microsoft Sentinelデータレイクに接続されたWorkspace1という名前のMicrosoft Sentinelワークスペースがあります。Workspace1は、データレイク層に12年分の履歴データを保持しています。 複数のテーブルを結合し、データレイク内のデータに直接アクセスする高度なハンティングクエリを実行する予定です。 調査中やスケジュールに基づいて、必要に応じてクエリを実行できることを確認する必要があります。ソリューションは、クエリが非同期で実行できることを保証しなければなりません。 何を使うべきでしょうか?
正解:D
To meet your exact investigative requirements, you should use KQL jobs in the Microsoft Sentinel data lake. Direct Data Lake Access: KQL jobs run natively against the long-term data lake tier to process massive historical datasets spanning up to 12 years. Advanced Multi-Table Joins: Unlike standard Search jobs (which typically prioritize single-table lookups or strict hydration scenarios), KQL jobs allow you to execute complex Kusto Query Language (KQL) scripts involving multi-table joins and data aggregations. Asynchronous Execution: Jobs naturally decouple compute from your real-time session. They run entirely in the background, preventing timeout limits commonly found in interactive queries. On-Demand & Scheduled Support: You can execute a KQL job explicitly on-demand when conducting a live investigation, or configure it on a recurring schedule to promote findings continuously into a target table. Reference: https://learn.microsoft.com/en-us/azure/sentinel/datalake/kql-jobs