APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Uma regra agendada tem intervalo de execução e período de lookback. São parâmetros diferentes: executar frequentemente não significa consultar apenas os últimos segundos. Quando o lookback excede o intervalo, as janelas sobrepõem-se e um evento pode voltar a ser avaliado. Se o intervalo excedesse o lookback, haveria lacunas; a validação de regras agendadas impede essa relação. Compara ainda o instante do evento com o da ingestão. Relógios incorretos podem distorcer essa diferença. Atraso real na recolha exige uma margem adequada, mas alargar apenas a janela pode duplicar alertas. Uma condição de tempo de ingestão pode associar o evento à janela pretendida, segundo o desenho da regra e os atrasos das fontes.
Aplicação guiada
Numa regra fictícia sobre falhas de autenticação, verifica o resultado depois de agregar. Se a query devolve uma linha por conta, um threshold de linhas não conta automaticamente todos os eventos subjacentes. Usa exemplos pequenos para confirmar a intenção antes de ativar a regra. Para investigação útil, configura entity mapping e preserva identificadores que permitam distinguir contas e dispositivos. Colunas existentes na query não garantem que a interface as trate como entidades. Inclui contexto necessário em detalhes do alerta, sem expor informação que o analista não precisa. No projeto, regista pressupostos de latência e critérios de teste para o RUN conseguir explicar resultados repetidos, atrasados ou incompletos.
Nove linhas agregadas por conta continuam a ser nove resultados, mesmo que representem novecentos eventos.
Armadilhas comuns
Intervalo como lookback; chegada como geração; linhas como eventos originais; colunas como entidades automáticas.
Tópicos relacionados: Deteções e automação controlada · Triagem e resposta no endpoint
Valida a semântica da query e a cobertura temporal antes de interpretar os alertas.
Referência: Scheduled analytics rules · SC-200 objectives effective 2026-07-28; Microsoft product documentation reviewed 2026-10-01; 2026-10-21 English update compared separately