Sentinel ウォッチリストを where の条件に使う

はじめに

Sentinel のウォッチリストを where の条件に使いたいときのサンプル クエリです。

サンプル

複数の値を where ... in ... で使用する場合

// ウォッチリストの読み込み
let watchlist = _GetWatchlist('Administrators')
| project UserName = SearchKey;
// サインインログのクエリ
SigninLogs
| where UserPrincipalName in (watchlist)
| project TimeGenerated, UserPrincipalName, IPAddress

単一の値を where ... == ... で使用する場合

// ウォッチリストの読み込み
let watchlist = _GetWatchlist('Administrators')
| project UserName = SearchKey
| take 1;
// scalar に変換
let specificUser = toscalar(watchlist);
// サインインログのクエリ
SigninLogs
| where TimeGenerated > ago(90d)
| where UserPrincipalName == specificUser
| project TimeGenerated, UserPrincipalName, IPAddress