你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Microsoft Sentinel 中管理播放列表

• 适用于:

  Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

我们建议你编辑现有的播放列表，而不是删除并重新创建播放列表。 对于数据引入，日志分析具有五分钟的 SLA。 如果删除并重新创建监视列表，你可能会在该五分钟时间内看到 Log Analytics 中已删除和重新创建的条目。 如果你长时间在 Log Analytics 中看到这些相同条目，请提交支持票证。

重要

Microsoft Sentinel 已在 Microsoft Defender 门户的 Microsoft 统一安全运营平台中正式发布。 对于预览版，Microsoft Sentinel 在 Defender 门户中提供，无需 Microsoft Defender XDR 或 E5 许可证。 有关详细信息，请参阅 Microsoft Defender 门户中的 Microsoft Sentinel。

编辑播放列表项

编辑监视列表，以编辑项目或将项目添加到监视列表。

1. 对于 Azure 门户中的 Microsoft Sentinel，在“配置”下选择“监视列表”。
   对于 Defender 门户中的 Microsoft Sentinel，请选择“Microsoft Sentinel”>“配置”>“监视列表”。

2. 选择要编辑的监视列表。

3. 在详细信息窗格中，选择“更新播放列表”>“编辑播放列表项”。

   

4. 若要编辑现有的播放列表项，

   1. 请选中该监视列表项的复选框。

   2. 编辑项。

   3. 选择“保存”。

      

   4. 在出现确认提示时单击“是”。

      

5. 若要将新项添加到播放列表，

   1. 选择“添加新订阅”。

      

   2. 填写“添加监视列表项”面板的字段。

   3. 在面板底部选择“添加”。

批量更新播放列表

如果要添加到播放列表的项很多，请使用批量更新。 批量更新播放列表会将项追加到现有播放列表。 然后，它会对播放列表中的项进行重复数据删除，其中每个列中的所有值都匹配。

如果已从播放列表文件中删除某个项并将其上传，则批量更新将不会删除现有播放列表中的项。 单独删除播放列表项。 或者，如果删除很多项，请删除播放列表并重新创建。

上传的更新播放列表文件必须包含播放列表使用的搜索关键字字段，而不包含空值。

若要批量更新播放列表，

1. 对于 Azure 门户中的 Microsoft Sentinel，在“配置”下选择“监视列表”。
   对于 Defender 门户中的 Microsoft Sentinel，请选择“Microsoft Sentinel”>“配置”>“监视列表”。

2. 选择要编辑的监视列表。

3. 在详细信息窗格中，选择“更新播放列表”>“批量更新”。

   

4. 在“上传文件”下，拖放或浏览到要上传的文件。

   

5. 如果遇到错误，请修复文件中的问题。 然后选择“重置”，并尝试再次上传文件。

6. 选择“下一步: 审阅并更新”>“更新”。

相关内容

若要详细了解 Microsoft Sentinel，请参阅以下文章：

• 在 Microsoft Sentinel 中使用监视列表
• 了解如何洞悉数据和潜在威胁。
• 开始使用 Microsoft Sentinel 检测威胁。
• 使用工作簿监视数据。