So exportieren Sie erweiterte Jagdergebnisse aus Microsoft Defender XDR

Führen Sie Ihre Abfrage in Erweiterte Jagd, dann senden Sie die gleiche Abfrage an Microsoft Graphs runHuntingQuery, um die Ergebnisse als JSON zu erhalten. Der Export-Button des Portals erzeugt eine tabellenkalkulationsähnliche Datei, die LogTotal heute nicht lesen kann. Die erweiterte Jagd speichert 30 Tage Daten, daher muss alles, was älter ist, aus Sentinel oder einem anderen Ort stammen, wo Sie Defender-Daten streamen.

Defender XDR hält Endpunkt-, Identitäts-, E-Mail- und Cloud-App-Telemetrie an einem abfragbaren Ort, was ihn zum ersten Anlaufpunkt in den meisten Microsoft-Shop-Ermittlungen macht. Prime Core hat 17.197 Erkennungsregeln für Microsoft Defender-Daten, die 659 MITRE ATT&CK-Techniken zugeordnet sind. Unten finden Sie, wie Sie ein Stück herausziehen, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos starten

Bevor Sie beginnen

Berechtigungen. Für Graph benötigen Sie die Berechtigung ThreatHunting.Read.All. Der angemeldete Benutzer benötigt auch eine Defender-Rolle, die erweiterte Jagd erlaubt.

Grenzen. Abfragen laufen nach ein paar Minuten ab und die Ergebnisse sind begrenzt. Planen Sie, nach Zeit oder Gerät zu teilen.

Die Tabellen. DeviceProcessEvents, DeviceNetworkEvents, DeviceLogonEvents, DeviceFileEvents, DeviceRegistryEvents, DeviceEvents (eine gemischte Tüte, einschließlich ASR- und AMSI-Ereignisse), EmailEvents, IdentityLogonEvents und AlertInfo mit AlertEvidence. Die Zeitspalte ist Zeitstempel.

Die Beispiele folgen der Microsoft-Dokumentation, überprüft im Oktober 2026.

Schritt 1: Schreiben Sie die Abfrage

DeviceProcessEvents
| where Timestamp between (datetime(2026-10-19) .. datetime(2026-10-20))
| where DeviceName startswith "ws-042"
| project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine,
          InitiatingProcessFileName, InitiatingProcessCommandLine, SHA256

Führen Sie es zuerst im Portal aus. Gerätenamen in Defender sind oft FQDNs, weshalb startswith besser funktioniert als ==.

Schritt 2: Export über Microsoft Graph

Connect-MgGraph -Scopes "ThreatHunting.Read.All"

$kql = @"
DeviceProcessEvents
| where Timestamp between (datetime(2026-10-19) .. datetime(2026-10-20))
| where DeviceName startswith "ws-042"
"@

$resp = Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/v1.0/security/runHuntingQuery" `
  -Body (@{ Query = $kql } | ConvertTo-Json) -ContentType "application/json"

$resp.results | ForEach-Object { $_ | ConvertTo-Json -Depth 10 -Compress } |
  Out-File ws042_proc_1019.jsonl -Encoding utf8

Jede Zeile kommt als ein JSON-Objekt pro Zeile zurück. Für mehrere Tage oder Geräte, durchlaufen Sie Tagesintervalle, um unter den Grenzen zu bleiben.

Schritt 3: Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen Sie logtotal.com und laden Sie die .jsonl Datei hoch.
2. Bereinigen. 
3. Überprüfen. 

Wenn es schief läuft