我有一个Azure混合环境,大约有60台服务器。上面都有蓝色监控探员。
我的知识KQL是基本的,所以我有一个非常基本的心跳监视器设置在哨兵。它每5分钟检查一次,并回顾过去5分钟,看看是否所有服务器都已签入。如果没有,它会发送一封电子邮件。因此,如果服务器在20分钟内没有登记,就有4封电子邮件。
理想情况下,我想要的是一个查询,在运行时,它会发送5分钟的警报,但也会检查是否已经发送了5分钟的警报,如果已经发送了,那么在15分钟后再发送警报,然后再发送30分钟。我想我需要一个以上的警报才能完成这个任务。
我的问题是,创建这个更高级的查询需要研究什么?在KQL中是否有一组我应该关注的命令?我是KQL的新手,所以我知道我想要完成什么,我只是不知道我需要寻找哪些工具来帮助我创建它。
提前感谢您的帮助!
发布于 2022-04-18 06:36:55
为此,您需要查看Playbook。游戏书籍是Azure Logic 。可以将逻辑应用程序配置为定期运行KQL并发送警报。您还需要某种存储机制,如Azure Table Storage,以跟踪上次发送警报的时间,然后您可以进行日期时间计算,以查看是否需要在15分钟之前提高或取消警报。
请参阅有关游戏书籍的更多详细信息:
https://learn.microsoft.com/en-us/azure/sentinel/automate-responses-with-playbooks
https://stackoverflow.com/questions/71839930
复制相似问题