Sprawdzić Sophos XDR Data Lake Search i eksporty

Data Lake Search pod Security Operations > Data Lake Search przeszukuje zdarzenia i detections przyjęte w tenancie. Przed pierwszym zapytaniem określa się pytanie dochodzenia, potrzebne źródło i okno czasowe. Pusty wynik ma znaczenie dopiero po sprawdzeniu przyjmowania danych, schematu i filtrów.

Ta instrukcja opisuje aktualny interfejs Security Operations. Live Discover i Live Endpoint Search oddzielają dane historyczne od bezpośrednich zapytań do urządzeń i zachowują odmienne procedury Classic. Przykłady QL przedstawiają wzorce składni; przed użyciem dopasuj pola do danych dostępnych w tenancie.

Wybrać źródło i metodę wyszukiwania

Przed wyszukiwaniem sprawdza się pod Integrations > Configured Data Sources, czy oczekiwane źródło dostarcza bieżące dane przypisane do potrzebnego schematu. Sama zielona łączność nie wystarcza. Odbiór integracji wyjaśnia tę różnicę.

Data Lake Search oferuje AI Search, Query Builder i Query Editor. AI Search tworzy propozycję z pytania w języku naturalnym. Schemat, warunki i okres trzeba sprawdzić przed wykorzystaniem; AI nie zastępuje odbioru źródła. Query Builder przedstawia warunki wizualnie, Query Editor używa Advanced Search Query Language. Ikona pinezki ustawia preferowaną metodę jako domyślną.

Zaczyna się od niewielkiego, znanego źródła i krótkiego okresu. W Query Builder wybiera się najpierw Detections lub Events, a dla Events następnie typ zdarzenia. W Query Editor FROM określa schemat. Detections i zdarzeń nie łączy się w jednym zapytaniu.

Zrozumieć Schema Library i pola logiczne

Schemat to ustrukturyzowana kategoria zdarzeń, np. auth, process lub netflow. Schema Library pokazuje schematy, pola dostępne do wyszukiwania i Logical Types. Nie każde pole wypełnione przez parser musi być dostępne w wyszukiwaniu. Mapowanie sprawdza się na rzeczywiście dostępnych polach, nie tylko na podobnie nazwanym polu producenta.

Pola logiczne z @, np. @ip lub @user, łączą odpowiednie pola różnych schematów. Wyszukiwanie wieloschematowe scala wyniki poszczególnych schematów; warunek wpływa tylko na schematy z danym polem. Nie jest to relacyjne złączenie. Filtr pól zdarzeń w wyszukiwaniu detections wymaga prefiksu odpowiedniego schematu, np. process.commandline.

Poniższy nieszkodliwy wzór pokazuje krótkie wyszukiwanie w schemacie uwierzytelnienia. example-user jest dowolnym symbolem zastępczym, który należy zastąpić tożsamością zatwierdzoną do dochodzenia:

FROM auth WHERE @user CONTAINS 'example-user' earliest=-1h

CONTAINS wyszukuje fragmenty tekstu i nie gwarantuje dokładnego dopasowania tożsamości. Jeśli wymagany jest jednoznaczny dowód konta, sprawdza się właściwe pole, operator porównania i źródło. Lokalnych i domenowych kont o tej samej nazwie nie sumuje się bez weryfikacji.

Oddzielić okres, retencję i limit Raw

Dla znormalizowanych Events pomoc schematów z 2 października 2026 r. pozwala na maksymalnie 31 dni na zapytanie. Początek może przypadać dowolnie wśród faktycznie zachowanych danych. Dłuższe dochodzenia wymagają skoordynowanych okien z zapisanymi granicami. Detections można wyszukiwać za dowolny okres; dostępne historie i uprawnienia nadal trzeba potwierdzić.

Te 31 dni nie jest okresem retencji. Next-Gen SIEM może zapewniać dłuższą retencję, nie umożliwiając nieograniczonego pojedynczego zapytania.

Dla @raw i original_data przewodnik SQL do QL z 15 września 2026 r. opisuje osobny dostęp do ostatnich 20 dni. Żądanie Raw poza zakresem jest odrzucane, nie skracane po cichu. Starsza strona Query Language wspomina też kroki 20-dniowe. Nie gwarantuje to, że podział udostępni starsze dane surowe. Przed obietnicą historycznego dowodu Raw poza udokumentowanym zakresem trzeba mieć potwierdzoną ścieżkę produktu. Nie jest to ogólna retencja 20-dniowa ani dowód fizycznego usuwania.

Uwzględnić limity QL i pułapki porównań

Pomoc Query Language podaje 100 jednocześnie działających Query Units na tenant oraz limit skanowania 10 TB na zapytanie. Jedno wyszukiwanie może zajmować kilka Query Units; stu użytkowników nie dostaje po sto równoległych wyszukiwań. Dlatego szerokie wyszukiwania logiczne i długie okresy zawęża się. Nieudane lub ograniczone wyszukiwanie nie oznacza zera zdarzeń.

Wyrażenia regularne zdarzeń korzystają z silnika zgodnego z Javą, a wyszukiwanie detections z silnika Lucene. Nie kopiuje się bez sprawdzenia wyrażenia pomiędzy tymi ścieżkami. Rozwiązywanie hostname to osobny przypadek z literalnym porównaniem rozróżniającym wielkość liter i ograniczonymi operatorami.

W tablicach warunki mogą pasować do różnych elementów tego samego zdarzenia. Dopasowanie nazwy i wartości nagłówka nie dowodzi np., że należą do tego samego elementu. Jeśli powiązanie przesądza o wyniku, trzeba sprawdzić dane indywidualnie.

Sprawdzić wyniki i zapisać wyszukiwanie

Po wyborze okresu uruchamia się Search lub Shift + Enter. Full Screen powiększa wyniki. Menu nagłówka kolumny pozwala filtrować, pokazywać/ukrywać, przypinać i skalować pola; kolejność kolumn zmienia się przeciąganiem.

Wiarygodny wynik wymaga sprawdzenia reprezentatywnych wierszy: właściwego tenanta, źródła, czasu ze strefą, tożsamości i działania. Liczba widocznych wierszy lub dodatnia detection nie zastępuje kontroli pól. Podczas testu źródła zdarzenie porównuje się z dowodem pierwotnym.

W AI Search i Query Editor polecenie Save Query otwiera zapis. W Query Builder najpierw wybiera się Save Search. Następnie wpisuje nazwę, kategorię i opcjonalny opis, zapisując przez Save Query; Bookmark this Query dodaje do osobistych zakładek. Dobra nazwa wskazuje cel i źródło, bez sekretów ani osobowych danych surowych. Wyszukiwania trafiają do historii tenanta. Zapisany tekst zapytania nie jest trwałym archiwum wyników.

Zabezpieczyć pełne eksporty przed wygaśnięciem

W menu Actions nad wynikami eksportuje się cały zestaw lub świadomie wybrany podzbiór. Następnie otwiera się Security Operations > Data Exports. Stan eksportu sprawdza się oddzielnie od powodzenia wyszukiwania:

• Processing: eksport nadal trwa.
• Completed: plik jest dostępny do pobrania.
• Errored: należy ustalić błąd i przy odpowiedniej przyczynie użyć Retry w menu trzech kropek.
• Cancelled: eksport anulowano, brak pełnego dowodu.

Pliki eksportu mają limit 100 000 wierszy na plik. Większe ilości wymagają sensownego podziału okien, filtrów lub parametrów i dokumentacji kilku żądań. Liczba i pokrycie częściowych plików muszą łącznie odpowiadać zakresowi dochodzenia. Pobrany plik nie dowodzi kompletności większego wyszukiwania.

File Expiration pokazuje termin wygaśnięcia. Przed nim zapisuje się eksport przez Download w zatwierdzonym miejscu. Nie wymyśla się uniwersalnego TTL na podstawie przykładu. Cancel zatrzymuje trwający eksport; Delete usuwa eksport nieodwracalnie. Żadna z tych czynności nie potwierdza usunięcia oryginalnej telemetrii z Data Lake.

Dowód eksportu zawiera zapytanie, jawne granice czasu i strefę, źródła/schematy, zakres, status, liczbę wierszy i retencję w systemie docelowym. Dostęp i udostępnianie wrażliwej telemetrii ustala się wcześniej. Dla własnego klienta z pełną paginacją runbook Search GraphQL wyjaśnia Search-URN, częściowe błędy, kursory i wygaśnięcie.

Wyjaśnić nieoczekiwane wyniki

Gdy brakuje trafień, najpierw kontroluje się tenant, źródło, schemat, okno i warunki. Przy błędzie Raw nie zakłada się starszej dostępności poprzez ciągłe próby kolejnych okien. Przy limicie skanowania lub równoległości zmniejsza się żądanie i dokumentuje podział, zamiast uruchamiać niekontrolowane ponowienia.

Jeśli podgląd jest prawidłowy, ale działająca reguła detection lub suppression zachowuje się inaczej, należy sprawdzić aktualną eksploatację reguł. Silniki streaming i suppression przetwarzają dane w innym momencie i z innymi ograniczeniami niż wyszukiwanie historyczne.