创建新的 Microsoft Sentinel 工作簿

除了使用内置模板创建自定义工作簿外，还可以从头开始创建自定义工作簿，以生成包含文本、分析查询、指标和参数的高度交互式报表。

创建自定义工作簿

可在 Microsoft Sentinel“工作簿”页面中创建自定义工作簿。 在标题栏上选择“+添加工作簿”。 此时将打开“新建工作簿”页，其中包含一个基本分析查询，可由此开始使用。

可以通过选择“编辑”，在“新建工作簿”页上开始生成工作簿。 然后选择“编辑”选项更改出现在新工作簿模板中的文本。

每个工作簿都提供一组丰富的功能，用于可视化从连接器收集的安全数据。 可使用以下可视化效果类型和元素设计工作簿：

• 文本
• 查询
• 参数
• 链接/选项卡
• 指标

可选择“+添加”将新元素添加到工作簿，如以下屏幕截图所示。

文本可视化

可使用文本块解释安全数据、节标题、遥测数据和其他信息。 可使用 Markdown 标记语言编辑文本，该语言为标题、字体样式、超链接和表提供了不同的格式设置选项。

添加文本后，选择“预览”选项卡来预览内容外观。 完成文本编辑后，选择“完成编辑”选项。

查询项

可从日志中创建不同的查询并将数据可视化为文本、图表或网格。 可以使用 KQL 编写查询。 然后使用各种可视化效果设置数据格式，包括：

• 网格（或表）
• 面积图
• 条形图
• 折线图
• 饼图
• 散点图
• 时间表
• 瓷砖

创建查询时，Microsoft Sentinel 会向工作簿添加新的“运行查询”步骤，如以下屏幕截图所示：

在标题栏中，有多个字段提供优化查询输出的选项。

在“高级设置”选项卡上，可为查询步骤的设置和样式提供更多自定义。 在“高级设置”选项卡上，可修改属性。 例如，可输入“图表标题”，如以下屏幕截图所示。

可使用“样式”选项卡来调整步骤中的边距和填充元素。 设置和样式的自定义完成后，请记得选择“完成编辑”来保存步骤。

图表可视化

创建以图表形式显示安全数据的查询时，可以自定义：

• 高度
• 宽度
• 调色板
• 传说
• 标题
• 轴类型和系列

下面的示例对所有安全警报进行计数，并使用饼图将它们可视化。

SecurityAlert
| where TimeGenerated \>= ago(180d)
| summarize Count=count() by AlertSeverity
| render piechart

在上面的示例中，查询指示了数据的可视化效果类型。 还可以在不包含 render 参数的情况下使用查询。 使用“可视化效果”下拉菜单选择提供的可视化效果类型之一：

网格可视化效果

可使用“可视化效果”下拉菜单中的“网格可视化效果”选项来显示表中的数据，从而为报表提供丰富的 UI。 可选择“列设置”选项来指定显示在表中的列并提供列标签（如有必要）。

在“编辑列设置”选项卡上，可选择不同的列呈现器，如热度地图、条形图和 spark 区域。 如果选择“自定义格式设置”，可为数字值设置单位、样式和格式设置选项。

参数

可使用交互式工作簿中的参数以不同的方式处理查询结果。 选择“添加参数”时，会打开一个“新建参数”页，可在其中提供参数所需的名称和其他输入。

可创建以下参数类型：

• 文本。 可输入任意文本。
• 下拉列表。 可修改查询步骤的外观以包含下拉菜单，以便从其中的一组值中选择某个值。 在此参数类型中，可输入 KQL 查询或 JSON 字符串来提供下拉列表选项。
• 时间范围选取器。 可从预填充的时间范围中进行选择，也可选择自定义范围。
• 资源选取器。 可选择一项或多项 Azure 资源。
• 订阅选取器。 可选择一个或多个 Azure 订阅资源。
• 资源类型选取器。 可选择一个或多个 Azure 资源类型值。
• 位置选取器。 可选择一个或多个 Azure 位置值。
• 选项组。 可将多个属性分组到组中。
• 选项卡。
• 多值。

可使用绑定或值扩展来引用工作簿其他部分中的参数值。

在“新建参数”窗格上的“预览”部分中，可查看在查询代码中显示和使用的变量。

链接/选项卡

可添加链接/选项卡步骤，使用选项卡、列表、段落或项目符号列表来自定义工作簿中的导航。 可以在添加新的链接/选项卡步骤时提供以下输入：

• 链接之前的文本。 使用此选项可指定选择链接前显示的文本。
• 链接文本。 使用此选项可指定链接中显示的实际文本。
• 链接之后的文本。 使用此选项可指定选择链接后显示的文本。
• 行动。 使用此选项可指定在选择链接时将执行的操作，例如“Url”、“设置参数值”以及“滚动到步骤”。
• Value。 使用此选项可指示链接的值。
• 设置。 使用此选项可根据链接类型配置特定设置，并支持参数语法。
• 上下文窗格?。 使用此选项可在旁边打开新的上下文面板而不是完整视图。
• 样式。 使用此选项可在“链接”、“按钮(主)”和“按钮(次)”样式之间进行选择。

指标步骤

可使用指标步骤将工作簿的结果与不同 Azure 资源中的指标进行组合。 完成对工作簿的所有自定义修改后，请记得选择“完成编辑”来保存工作簿。