Kurzer Check
Rate zuerst, ohne Punktabzug. Eine Hunting-Abfrage, die eine KI geschrieben hat, liefert für letzte Nacht null Zeilen. Was sagt dir das?
In der Security sieht ein leeres Ergebnis genau wie eine gute Nachricht aus. Deshalb ist es gefährlich. Eine Abfrage kann nichts liefern, weil nichts da war, oder weil sie die falsche Tabelle durchsucht hat, ein Feld, das in deinen Logs leer ist, einen Zeitraum vor Beginn deiner Daten oder die falsche Event-ID.
Teste also jede neue Abfrage an einem bekannten Ereignis, bevor du einem leeren Ergebnis traust:
- Ein bekanntes Ereignis: etwas, von dem du weißt, dass es in den Logs steht, etwa deine eigene fehlgeschlagene Anmeldung mit einem Testkonto, eine Laborübung oder ein früherer Vorfall.
- Die Daten sind da: Prüf, ob die Tabelle für diese Zeit und diese Event-IDs überhaupt Zeilen hat.
- Dann die echte Suche: Sobald die Abfrage das bekannte Ereignis findet, bedeutet ein leeres Ergebnis etwas.
Die KI kann den Test für dich entwerfen. Ob deine Logs die Daten enthalten, kann sie dir nicht sagen. Das zeigt nur das Ausführen.
Ein Beispiel
1. Hat die Tabelle die Daten?
SecurityEvent
| where TimeGenerated between (datetime(2026-10-15 22:00) .. datetime(2026-10-15 23:00))
| summarize count() by EventID
-> 4625 kommt vor: 37 Ereignisse. Die Daten sind da.
2. Findet meine Abfrage ein bekanntes Ereignis?
Ich habe um 22:40 drei Test-Anmeldungen als lab.user scheitern lassen. Meine Abfrage findet sie.
3. Erst jetzt: auf letzte Nacht laufen lassen. Null Zeilen heißt jetzt null Treffer.Lücken füllen
Füll die Lücken.
Testnotiz
Bevor ich einem leeren Ergebnis traue, prüfe ich, dass und dass die Abfrage . Erst dann bedeuten null Zeilen .
Probier es aus
Deine Schritte, etwa 2 Minuten
- 1.Nimm eine Abfrage, die eine KI geschrieben hat, und lass sie auf einen Zeitpunkt laufen, an dem das Ereignis bekanntlich passiert ist, wenn möglich in einem Labor. Füg „erst an einem bekannten Ereignis testen“ deiner Checkliste hinzu.2 Min.