Libros y hojas de trabajo de investigación

Un libro (workbook) de Microsoft Sentinel es un informe interactivo hecho de paneles. Cada panel ejecuta una consulta KQL sobre las tablas del espacio de trabajo y la muestra como tabla, barras, círculo o mapa. Sirve para ver de un vistazo cómo está el SOC o para guiar una investigación con filtros que el analista cambia sin escribir la consulta.

Un libro lee datos y los presenta. No crea alertas, no abre incidentes ni cambia lo que hay guardado: para eso están las reglas analíticas y las reglas de automatización.

El libro «Resumen del SOC» tiene cuatro paneles. El de inicios de sesión fallidos agrupa los últimos siete días por país de origen. Un número alto de fallos desde un país donde la empresa no opera es una pista que se profundiza con la tabla de inicios de sesión; no prueba por sí solo que haya un ataque, pero marca por dónde empezar.

inicios_fallidos_por_pais trae lo que muestra el panel. Ordénalo de mayor a menor para ver el primero.

Un panel puede fallar por varias razones: la tabla de la que lee no existe en el espacio de trabajo (por ejemplo, porque el conector no se activó), la consulta tiene un error, o la persona que lo abre no tiene permisos. El mensaje de la última carga lo dice, y es lo primero que se lee antes de tocar la consulta.

paneles trae el estado de la última carga de cada panel del libro.

Una lista de vigilancia (watchlist) es una tabla que el equipo carga a Sentinel con datos propios, como cuentas críticas, direcciones de la empresa o equipos de alto valor, y que las consultas y las reglas pueden cruzar con los eventos. Una alerta sobre una cuenta que está en la lista pesa más que la misma alerta sobre una cuenta de bajo impacto.

watchlist_vip trae las cuentas de La Vega con su área y su nivel de vigilancia.

Una lista de vigilancia se usa cuando una consulta necesita comparar eventos contra datos que no vienen de ninguna fuente de registro: una lista de proveedores autorizados, de cuentas de servicio o de rangos de red de la empresa. La consulta la lee con la función _GetWatchlist("alias") y evita pegar la lista dentro de cada regla.