是否可以在 Azure Sentinel 中创建日志源运行状况警报?

Question

我正在尝试创建一个警报，让我知道数据源是否停止向 Sentinel 提供日志。虽然我知道它在仪表板上显示日志数据异常，但如果源长时间停止提供日志，我希望收到警报。

Answer 1

类似于使用以下查询(在本例中为 CEF(创建规则：

CommonSecurityLog
| where TimeGenerated > ago(24h)
| summarize count() by DeviceVendor, DeviceProduct, DeviceName, DeviceExternalID
| where count_ == 0