如何从 Microsoft Defender XDR 导出高级狩猎结果

在中运行您的查询 高级狩猎，然后将相同的查询发送到Microsoft Graph的runHuntingQuery以获取JSON格式的结果。门户的导出按钮会生成一个今天LogTotal无法读取的电子表格样式文件。高级狩猎保留30天的数据，因此任何更早的数据必须来自Sentinel或您流式传输Defender数据的地方。

Defender XDR将端点、身份、电子邮件和云应用的遥测数据存储在一个可查询的位置，这使其成为大多数微软调查的首选。Prime Core为Microsoft Defender数据提供17,197个检测规则，映射到659种MITRE ATT&CK技术。以下是如何提取一个片段，清理并在LogTotal中免费调查它。

免费开始

在您开始前

权限。 对于Graph，您需要ThreatHunting.Read.All权限。登录用户还需要允许高级狩猎的Defender角色。

限制。 查询在几分钟后超时，结果有上限。计划按时间或设备分割。

表格。 DeviceProcessEvents, DeviceNetworkEvents, DeviceLogonEvents, DeviceFileEvents, DeviceRegistryEvents, DeviceEvents（包括ASR和AMSI事件的混合体）, EmailEvents, IdentityLogonEvents, 以及带有AlertEvidence的AlertInfo。时间列为Timestamp。

示例遵循微软的文档，检查于2026年10月。

步骤1：编写查询

DeviceProcessEvents
| where Timestamp between (datetime(2026-10-19) .. datetime(2026-10-20))
| where DeviceName startswith "ws-042"
| project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine,
          InitiatingProcessFileName, InitiatingProcessCommandLine, SHA256

首先在门户中运行它。Defender中的设备名称通常是FQDN，因此startswith比==更有效。

步骤2：通过Microsoft Graph导出

Connect-MgGraph -Scopes "ThreatHunting.Read.All"

$kql = @"
DeviceProcessEvents
| where Timestamp between (datetime(2026-10-19) .. datetime(2026-10-20))
| where DeviceName startswith "ws-042"
"@

$resp = Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/v1.0/security/runHuntingQuery" `
  -Body (@{ Query = $kql } | ConvertTo-Json) -ContentType "application/json"

$resp.results | ForEach-Object { $_ | ConvertTo-Json -Depth 10 -Compress } |
  Out-File ws042_proc_1019.jsonl -Encoding utf8

每行返回一个JSON对象。对于多天或多个设备，请循环遍历按天分割的窗口以保持在限制范围内。

步骤3：上传、清理并在LogTotal中查看

1. 上传。 打开 logtotal.com 并拖入.jsonl文件。
2. 清理。 
3. 查看。 

当出现问题时