Enfoque: administración de consultas, marcadores, pivotes de entidades, livestream y flujo práctico.
0/7
01 / 07Introducción
Sentinel combina consultas KQL reutilizables con marcadores y livestream. Las consultas encuentran candidatos, los marcadores preservan evidencia y livestream observa continuamente nuevas coincidencias.
Implementá el entorno, conectá la telemetría y verificá registros antes de buscar. Conservá recursos hasta el ejercicio final y eliminalos luego si no se necesitan.
03 / 07Explorar la creación y administración de consultas
La página incluye consultas de Microsoft y personalizadas. Filtrá por origen, táctica, técnica, resultados o favoritos; ejecutá en un intervalo y revisá. Una consulta personalizada incluye nombre, descripción, KQL, tácticas, técnicas y asignaciones de entidades para habilitar pivotes y marcadores.
Un marcador preserva filas seleccionadas, consulta, intervalo, entidades, notas y etiquetas. Sirve para registrar evidencia, agrupar hallazgos, volver a un pivote o promoverlos a incidente. Es una instantánea y no se actualiza con los datos.
05 / 07Observar amenazas a lo largo del tiempo con livestream
Livestream ejecuta una consulta continuamente y notifica coincidencias. Usalo para monitoreo breve durante una investigación o validación. Optimizá la consulta, elegí período apropiado, evitá duplicados y detené sesiones innecesarias.
Usá consultas para descubrir, marcadores para preservar/compartir y livestream para observar recurrencia. Convertí lógica repetible de alto valor en reglas de análisis.