Truy cập màn hình New Query

• Từ thanh menu trái, chọn Investigate → Threat Hunting.
• Chọn tab Queries để mở khu vực soạn thảo truy vấn mới.

Các thành phần trên màn hình

• Event Data Sources: chọn nguồn dữ liệu sự kiện sẽ truy vấn (mặc định All Sources).
• Max Result Shown: giới hạn số dòng kết quả hiển thị tối đa (mặc định 1.000 rows).
• Khoảng thời gian: chọn mốc thời gian bắt đầu – kết thúc để giới hạn phạm vi dữ liệu truy vấn. Mặc định là Last 15 mins
• Schema (panel trái): liệt kê danh sách các bảng (table) và cột (field) có trong database, hỗ trợ ô tìm kiếm field để tra cứu tên field khi viết query. Hiện tại có 3 bảng người dùng có thể truy vấn: events và entities
• Khung soạn thảo truy vấn: nơi nhập câu truy vấn SQL, hỗ trợ nhiều tab truy vấn (nhấn + để mở tab mới), nút Clear để xóa nội dung đang soạn.
• Save / Run Query: lưu truy vấn lại hoặc chạy truy vấn ngay.
• Result: khu vực hiển thị kết quả trả về sau khi chạy truy vấn, có thể Choose Columns để tùy chỉnh cột hiển thị, mở rộng toàn màn hình hoặc tải kết quả xuống.
• History (panel phải): lưu lại lịch sử các truy vấn đã chạy để xem lại hoặc chạy lại nhanh.

Các bước thực hiện

Bước 1: Chọn Event Data Sources cần truy vấn, hoặc để All Sources để tìm trên toàn bộ nguồn dữ liệu.

Bước 2: Chọn Max Result Shown phù hợp với nhu cầu phân tích.

Bước 3: Chọn khoảng thời gian cần truy vấn ở ô lịch bên phải.

Bước 4: Nhập câu truy vấn SQL vào khung soạn thảo.

Bước 5: Nhấn Run Query để thực thi truy vấn. Kết quả trả về sẽ hiển thị ở khu vực Result phía dưới.

Bước 6: (Tùy chọn) Nhấn Choose Columns để chọn các cột muốn hiển thị trong bảng kết quả.

Bước 7: (Tùy chọn) Nhấn Save để lưu lại truy vấn, phục vụ tái sử dụng về sau tại tab Saved Queries.

Lưu truy vấn (Save Query)

Sau khi soạn xong câu truy vấn, nhấn Save để mở popup Save Query và lưu lại truy vấn cho lần sử dụng sau.

Popup gồm các thông tin:

• Query Name (bắt buộc): tên của truy vấn.
• Description: mô tả thêm về mục đích, nội dung của truy vấn.
• Visibility: chế độ hiển thị của truy vấn sau khi lưu, gồm 2 lựa chọn:
  • Personal: chỉ người tạo mới xem được truy vấn sau khi lưu.
  • Project: truy vấn được chia sẻ với tất cả người dùng trong Project.

Các bước thực hiện:

1. Nhấn Save trên thanh công cụ của màn hình New Query.
2. Nhập Query Name cho truy vấn.
3. (Tùy chọn) Nhập Description để mô tả thêm về truy vấn.
4. Chọn Visibility phù hợp: Personal hoặc Project.
5. Nhấn Save trong popup để hoàn tất, hoặc Cancel để hủy và đóng popup.