在 Microsoft Sentinel 中管理播放列表

我们建议你编辑现有的播放列表，而不是删除并重新创建播放列表。 日志分析的数据引入 SLA 为五分钟。 如果删除并重新创建监视列表，你可能会在该五分钟时间内看到 Log Analytics 中已删除和重新创建的条目。 如果你在 Log Analytics 中持续较长时间看到这些重复条目，请提交支持请求。

编辑播放列表项

编辑监视列表，以编辑项目或将项目添加到监视列表。

1. 转到 Azure 门户，在“配置”下选择“监视列表”。

2. 选择要编辑的监视列表。

3. 在详细信息窗格中，选择“更新播放列表”“编辑播放列表项”。

   

4. 若要编辑现有的播放列表项，

   1. 请选中该监视列表项的复选框。

   2. 编辑该项目。

   3. 选择“保存”。

      

   4. 在出现确认提示时单击“是”。

      

5. 若要将新项添加到播放列表，

   1. 选择新建。

      

   2. 填写“添加监视列表项”面板的字段。

   3. 在面板底部选择“添加”。

批量更新播放列表

如果要添加到播放列表的项很多，请使用批量更新。 对监视列表进行批量更新会将项目追加到现有监视列表中。 然后，它会对监视列表中的项目进行去重，其中各列中的所有值都相同。

如果已从播放列表文件中删除某个项并将其上传，则批量更新将不会删除现有播放列表中的项。 单独删除关注列表项。 或者，当需要删除很多项时，请删除并重新创建监视列表。

上传的更新播放列表文件必须包含播放列表使用的搜索关键字字段，而不包含空值。

若要批量更新播放列表，

1. 转到 Azure 门户，在“配置”下选择“监视列表”。

2. 选择要编辑的监视列表。

3. 在详细信息窗格中，选择 更新监视列表>批量更新。

   

4. 在“上传文件”下，拖放或浏览到要上传的文件。

   

5. 如果遇到错误，请修复文件中的问题。 然后选择“重置”，并尝试再次上传文件。

6. 选择“下一步：审阅并更新”>“更新”。

相关内容

若要详细了解 Microsoft Sentinel，请参阅以下文章：

• 在 Microsoft Sentinel 中使用监视列表
• 开始使用 Microsoft Sentinel 检测威胁。
• 使用工作簿监控您的数据。