Verificar Sophos XDR Data Lake Search e exportações

Data Lake Search, em Security Operations > Data Lake Search, consulta eventos e detections ingeridos no tenant. Antes da primeira consulta, definir questão de investigação, fonte necessária e janela temporal. Um resultado vazio só é significativo após verificar ingestion, esquema e filtros.

Este guia descreve a interface Security Operations atual. Live Discover e Live Endpoint Search distinguem dados históricos de consultas diretas ao dispositivo e conservam os procedimentos Classic diferentes. Adaptar os exemplos QL à pergunta, aos dados e aos limites temporais pretendidos.

Escolher fonte e método de pesquisa

Antes de pesquisar, verificar em Integrations > Configured Data Sources se a fonte prevista fornece dados atuais associados ao esquema necessário. Uma ligação verde não basta. A aceitação de integrações explica a distinção.

Data Lake Search oferece AI Search, Query Builder e Query Editor. AI Search gera uma proposta a partir de uma pergunta em linguagem natural. Verificar esquema, condições e período antes de a usar; a IA não substitui a aceitação da fonte. Query Builder representa condições visualmente e Query Editor utiliza Advanced Search Query Language. O ícone de alfinete permite tornar o método preferido predefinido.

Começar com uma fonte pequena conhecida e um período curto. Em Query Builder escolher primeiro Detections ou Events, e para Events depois o tipo de evento. Em Query Editor, FROM define o esquema. Não misturar detections e eventos na mesma consulta.

Compreender Schema Library e campos lógicos

Um esquema é uma categoria estruturada de eventos, como auth, process ou netflow. Schema Library mostra esquemas, campos pesquisáveis e Logical Types. Nem todos os campos preenchidos pelo parser estão necessariamente disponíveis na pesquisa. Verificar o mapping com os campos realmente pesquisáveis, não apenas com um campo de nome semelhante do fabricante.

Campos lógicos com @, como @ip ou @user, agregam campos adequados de esquemas diferentes. Uma pesquisa multiesquema reúne resultados por esquema; uma condição só afeta os esquemas que possuem o campo. Não é um join relacional. Filtrar campos de eventos numa pesquisa de detections exige o prefixo do esquema correspondente, como process.commandline.

O modelo inofensivo seguinte mostra uma pesquisa breve no esquema de autenticação. example-user é um marcador escolhido livremente, a substituir por uma identidade autorizada para a investigação:

FROM auth WHERE @user CONTAINS 'example-user' earliest=-1h

CONTAINS pesquisa subcadeias, sem garantir uma correspondência exata de identidade. Se for necessária prova inequívoca de conta, verificar campo real, operador e fonte. Não somar sem revisão contas locais e de domínio com o mesmo nome.

Distinguir período, retenção e limite Raw

Para Events normalizados, a ajuda de esquemas de 2 de outubro de 2026 permite no máximo 31 dias por consulta. O início pode ser qualquer data dentro dos dados efetivamente conservados. Para investigações mais longas usar janelas coordenadas com limites documentados. Detections podem ser pesquisadas para qualquer período; histórico disponível e permissões continuam a exigir verificação.

Estes 31 dias não são uma retenção. Next-Gen SIEM pode oferecer conservação mais longa sem permitir uma consulta única ilimitada.

Para @raw e original_data, o guia SQL-QL de 15 de setembro de 2026 descreve acesso separado aos últimos 20 dias. Um pedido Raw fora desse âmbito é rejeitado, não encurtado silenciosamente. A página Query Language anterior também refere incrementos de 20 dias. Isto não garante que dividir pedidos disponibilize dados brutos mais antigos. Antes de prometer prova Raw histórica fora do âmbito documentado deve existir um caminho de produto confirmado. Não é uma retenção geral de 20 dias nem prova de eliminação física.

Considerar limites QL e armadilhas de comparação

A ajuda Query Language indica 100 Query Units em execução simultânea por tenant e um limite de leitura de 10 TB por consulta. Uma pesquisa pode ocupar várias Query Units; cem utilizadores não recebem cem pesquisas paralelas cada um. Restringir por isso pesquisas lógicas amplas e períodos longos. Uma pesquisa falhada ou limitada não equivale a zero eventos.

As expressões regulares para eventos usam um motor compatível com Java; pesquisas de detections usam um motor baseado em Lucene. Não copiar cegamente uma expressão guardada entre ambos. A resolução de hostname é também um caso particular, com comparação literal sensível a maiúsculas e operadores limitados.

Em arrays, as condições podem corresponder a entradas diferentes do mesmo evento. Uma correspondência sobre nome e valor de cabeçalho não prova, por exemplo, que pertençam à mesma entrada. Se essa associação for decisiva para o resultado, inspecionar individualmente os dados subjacentes.

Verificar resultados e guardar a pesquisa

Após selecionar o período, executar com Search ou Shift + Enter. Full Screen amplia os resultados. O menu do cabeçalho de coluna permite filtrar, mostrar/ocultar, fixar ou redimensionar campos; as colunas organizam-se arrastando-as.

Para um resultado fiável, verificar linhas representativas quanto ao tenant correto, fonte, hora do evento com fuso, identidade e ação. O número de linhas visíveis ou uma detection positiva não substitui o controlo dos campos. Num teste de fonte, comparar o evento com a prova original.

Em AI Search e Query Editor, Save Query abre a gravação. Em Query Builder, escolher primeiro Save Search. Introduzir depois nome, categoria e descrição opcional e confirmar com Save Query; Bookmark this Query acrescenta aos favoritos pessoais. Um nome útil identifica objetivo e fonte sem segredos nem dados brutos pessoais. As pesquisas são registadas no histórico do tenant. O texto de uma consulta guardada não é um arquivo permanente de resultados.

Guardar exportações completas antes de expirarem

No menu Actions acima dos resultados, exportar o conjunto completo ou um subconjunto deliberadamente selecionado. Abrir depois Security Operations > Data Exports. Verificar o estado separadamente do sucesso da pesquisa:

• Processing: exportação ainda em curso.
• Completed: ficheiro disponível para descarregar.
• Errored: analisar o erro e usar Retry no menu de três pontos se for adequado à causa.
• Cancelled: exportação cancelada, sem prova completa.

Os ficheiros estão limitados a 100 000 linhas por ficheiro. Para volumes maiores, dividir adequadamente janelas, filtros ou parâmetros e documentar vários pedidos. O número e cobertura dos ficheiros parciais devem corresponder juntos ao âmbito pretendido. Um ficheiro descarregado não comprova a totalidade de uma pesquisa maior.

File Expiration indica quando o ficheiro expira. Antes desse momento, guardá-lo por Download no local aprovado. Não inventar um TTL universal fixo a partir de um exemplo. Cancel interrompe uma exportação em curso; Delete elimina a exportação irreversivelmente. Nenhuma ação confirma a eliminação da telemetria original do Data Lake.

A prova de exportação inclui consulta, limites temporais explícitos e fuso, fontes/esquemas, âmbito, estado, número de linhas e retenção no destino. Definir previamente acesso e partilha de telemetria sensível. Para um cliente próprio totalmente paginado, o runbook Search GraphQL explica Search-URN, falhas parciais, cursores e expiração.

Analisar resultados inesperados

Se faltarem correspondências, verificar primeiro tenant, fonte, esquema, janela e condições. Após um erro Raw, não presumir disponibilidade mais antiga tentando continuamente outras janelas. Ao atingir um limite de leitura ou concorrência, reduzir a consulta e documentar a divisão em vez de iniciar repetições descontroladas.

Se a pré-visualização estiver correta mas uma regra ativa de detection ou suppression reagir de outra forma, verificar a operação atual das regras. Os motores de streaming e suppression processam em momentos e com limites diferentes de uma pesquisa histórica.