Save a query

Data Explorer vous permet d'enregistrer des requêtes pour pouvoir les exécuter à nouveau plus tard. Avec des licences Data Explorer spécifiques, vous pouvez également configurer les paramètres d'alerte personnalisée pour une requête enregistrée. Lorsque les paramètres d'alerte personnalisée sont configurés pour une requête enregistrée, une alerte personnalisée est générée chaque fois que la requête s'exécute selon le calendrier.

Note: Les alertes personnalisées sont considérées comme des événements non urgents à des fins de rapports en libre-service uniquement. Lorsque vous configurez une règle d'alerte personnalisée, les résultats de chaque exécution de requête sont envoyés uniquement aux membres du groupe de destinataires que vous sélectionnez. Ces événements ne sont pas soumis au Arctic Wolf® Security Operations Center pour examen ou alerte.

Before you begin

  • Configuring custom alert settings is an optional step in this task. This step requires a valid license.

    For more information, see Data Explorer license options.

  • Un maximum de 50 règles d'alerte personnalisée peuvent être activées en même temps. Si vous avez atteint cette limite, envisagez de désactiver une règle d'alerte personnalisée. For more information, see Enable or disable a custom alert rule.

Steps

  1. Run an analyzed log search.
  2. Click Save New Query.
  3. In the Title field, enter a name for the query.
    If you choose to configure custom alert settings for this query, the custom alert will have the same name.
  4. Optional: In the Description (Optional) field, enter a short description of the query.
  5. Select a privacy setting:
    • Not Restricted — Makes the query visible to everyone in your organization.
    • Restricted — Restricts access to only primary and secondary contacts in your organization.
    The option that you select determines if other users can view the saved query in Data Explorer.
  6. Optional: Configure custom alert settings:
    1. Click the Enable Custom Alert toggle to the on position.
    2. In the Select Notification field, configure who receives the custom alert:
      • To create a recipient group — Click Create Recipient Group, enter a name for the group, and then add recipients to the To field. If desired, add recipients to the CC field. Then, click Create.
      • To select an existing recipient group — In the Select Notification field, select a group.
      After selecting a recipient group, a list of group members displays.
    3. In the Notification Frequency field, select how often you want to generate a custom alert.
  7. Click Save.
    If you configured custom alert settings, a new rule is added to the Custom Alert Rules tab of the Alert Configuration Rules page. You can manage custom alert settings in Data Explorer or from the Alert Configuration Rules page. For more information, see View a custom alert rule.