Kontrollera Sophos XDR Data Lake Search och exporter

Data Lake Search under Security Operations > Data Lake Search söker i händelser och detections som lästs in i tenanten. Före första frågan bestäms utredningsfråga, nödvändig källa och tidsfönster. Ett tomt resultat är meningsfullt först när inläsning, schema och filter har kontrollerats.

Guiden beskriver aktuell Security Operations-vy. Live Discover och Live Endpoint Search skiljer historiska data från direkta enhetsfrågor och behåller de avvikande Classic-förfarandena. Anpassa QL-exemplen till det egna schemat, tidsfönstret och faktiska källvärden.

Välj datakälla och sökmetod

Kontrollera före sökningen under Integrations > Configured Data Sources att förväntad källa levererar aktuella data som mappas till rätt schema. En grön anslutning räcker inte. Integrationsacceptans förklarar skillnaden.

Data Lake Search erbjuder AI Search, Query Builder och Query Editor. AI Search skapar ett förslag från en fråga på naturligt språk. Kontrollera schema, villkor och period före användning; AI ersätter inte källacceptans. Query Builder visar villkor visuellt, Query Editor använder Advanced Search Query Language. Med nålikonen kan föredragen metod göras till standard.

Börja med en liten känd källa och kort period. Välj först Detections eller Events i Query Builder, sedan händelsetyp för Events. I Query Editor bestämmer FROM schemat. Blanda inte detections och händelser i samma fråga.

Förstå Schema Library och logiska fält

Ett schema är en strukturerad händelsekategori, exempelvis auth, process eller netflow. Schema Library visar scheman, sökbara fält och Logical Types. Varje fält som fylls av parsern behöver inte vara sökbart. Kontrollera därför mappning mot faktiskt sökbara fält, inte bara ett liknande fältnamn från leverantören.

Logiska fält med @, som @ip eller @user, sammanför lämpliga fält från olika scheman. En flerschemasökning förenar resultat per schema; ett villkor påverkar endast scheman som har fältet. Detta är ingen relationell join. Filter på händelsefält i en detectionsökning kräver motsvarande schemaprefix, exempelvis process.commandline.

Följande ofarliga mall visar en kort sökning i autentiseringsschemat. example-user är en fritt vald platshållare som ska ersättas med en identitet godkänd för utredningen:

FROM auth WHERE @user CONTAINS 'example-user' earliest=-1h

CONTAINS söker delsträngar och garanterar inte exakt identitetsmatchning. Om entydigt kontounderlag behövs kontrolleras faktiskt identitetsfält, jämförelseoperator och källa. Summera inte likadant namngivna lokala konton och domänkonton utan kontroll.

Skilj period, lagring och Raw-gräns åt

För normaliserade Events tillåter schemahjälpen från 2 oktober 2026 ett fönster på högst 31 dagar per fråga. Startdatum får ligga var som helst inom faktiskt bevarade data. Längre utredningar använder samordnade fönster med dokumenterade gränser. Detections kan sökas för valfri period; tillgänglig historik och behörighet måste ändå kontrolleras.

Dessa 31 dagar är ingen lagringstid. Next-Gen SIEM kan ge längre lagring utan att tillåta en obegränsad enskild fråga.

För @raw och original_data beskriver SQL-till-QL-guiden från 15 september 2026 separat åtkomst till de senaste 20 dagarna. En Raw-begäran utanför detta omfång avvisas och förkortas inte tyst. Den äldre Query Language-sidan nämner också 20-dagarssteg. Det garanterar inte att uppdelning gör äldre rådata tillgängliga. Innan historiskt Raw-underlag utanför dokumenterat omfång utlovas måste en bekräftad produktväg finnas. Detta är varken generell 20-dagarslagring eller bevis på fysisk radering.

Ta hänsyn till QL-gränser och jämförelsefällor

Query Language-hjälpen anger 100 samtidigt körande Query Units per tenant och en skanningsgräns på 10 TB per fråga. En sökning kan uppta flera Query Units; hundra användare får inte varsin kvot med hundra parallella sökningar. Avgränsa därför breda logiska sökningar och långa perioder. En misslyckad eller begränsad sökning får inte tolkas som noll händelser.

Reguljära uttryck för händelser använder en Java-kompatibel motor; detectionsökningar en Lucene-baserad motor. Kopiera inte ett sparat uttryck blint mellan dessa vägar. Värdnamnsupplösning är också ett specialfall med skiftlägeskänslig bokstavlig jämförelse och begränsade operatorer.

För arrayer kan villkor träffa olika poster i samma händelse. En träff på headernamn och headervärde bevisar exempelvis inte att båda hör till samma headerpost. Om sambandet är avgörande för fyndet måste underliggande data granskas individuellt.

Kontrollera resultat och spara sökningen

Efter val av period körs sökningen med Search eller Shift + Enter. Full Screen förstorar resultaten. Menyn i kolumnrubriken kan filtrera, visa/dölja, fästa eller storleksanpassa fält; kolumner ordnas genom att dra dem.

För tillförlitliga fynd kontrolleras representativa rader avseende rätt tenant, källa, händelsetid med tidszon, identitet och åtgärd. Antalet synliga rader eller en positiv detection ersätter inte fältkontrollen. Vid källtest jämförs händelsen med ursprungsunderlaget.

I AI Search och Query Editor öppnar Save Query spardialogen. I Query Builder väljs först Save Search. Ange sedan namn, kategori och valfri beskrivning och spara med Save Query; Bookmark this Query lägger till personliga bokmärken. Ett begripligt namn anger syfte och källa utan hemligheter eller personliga rådata. Sökningar registreras i tenantens sökhistorik. Sparad frågetext är inget permanent resultatarkiv.

Säkra fullständiga exporter före utgångstid

I Actions ovanför resultattabellen exporteras hela resultatet eller en medvetet vald delmängd. Öppna därefter Security Operations > Data Exports. Kontrollera status separat från en lyckad sökkörning:

Processing: exporten pågår.
Completed: filen kan hämtas.
Errored: undersök felet och använd Retry i trepunktsmenyn när det passar orsaken.
Cancelled: exporten har avbrutits, inget fullständigt underlag.

Exportfiler är begränsade till 100 000 rader per fil. För större mängder delas tidsfönster, filter eller sökparametrar lämpligt upp och flera begäranden dokumenteras. Delfilernas antal och täckning ska tillsammans motsvara önskat utredningsomfång. En hämtad fil bevisar inte fullständighet för en större sökning.

File Expiration visar när filen löper ut. Spara exporten med Download till godkänd plats före den tiden. Hitta inte på en universell fast TTL från ett exempel. Cancel stoppar pågående export; Delete raderar exporten oåterkalleligt. Ingen av åtgärderna bekräftar radering av ursprunglig telemetri från Data Lake.

Exportunderlaget omfattar fråga, uttryckliga tidsgränser och tidszon, valda källor/scheman, exportomfång, status, radantal och lagring i målsystemet. Reglera åtkomst och delning av känslig telemetri i förväg. För en egen fullständigt paginerad klient förklarar Search GraphQL-runbooken Search-URN, partiella fel, markörer och utgångstid.

Utred oväntade resultat

Om träffar saknas kontrolleras först tenant, datakälla, schema, tidsfönster och villkor. Anta inte äldre tillgänglighet efter ett Raw-fel genom ständigt nya fönster. Vid skannings- eller samtidighetsgräns minskas frågan och uppdelningen dokumenteras i stället för okontrollerade återförsök.

Om förhandsgranskningen stämmer men en körande detection- eller suppressionregel beter sig annorlunda kontrolleras aktuell regeldrift. Streaming- och suppressionmotorer behandlar data vid andra tidpunkter och med andra gränser än historisk sökning.