Microsoft Defender: правило скорочення поверхні атаки для кінцевих точок

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Захистіть кінцеві точки за допомогою правил скорочення поверхні атаки. Перевіряйте ефективність правил ASR за допомогою просунутих запитів KQL для кращого виявлення та точнішого налаштування винятків.

Automatically translated with AI from the original post. Read the English original

Аудит правил скорочення поверхні атаки відіграє ключову роль у підтриманні безпеки вашої організації. Цей процес можна суттєво спростити за допомогою просунутого KQL. Ця потужна мова запитів дозволяє ефективніше аналізувати дані, заощаджує час і підвищує точність. За допомогою просунутого KQL ви можете швидко виявляти вразливості та перевіряти відповідність політикам безпеки. Такий підхід не лише покращує ваші можливості аудиту, а й допомагає ухвалювати обґрунтовані рішення щодо стратегії безпеки.

Головне

• Розумійте базову структуру запитів KQL, щоб покращити свої навички аудиту.
• Використовуйте техніки фільтрації, щоб зосередитися на конкретних правилах ASR та відповідних даних.
• Об'єднуйте таблиці даних, щоб поєднати інформацію та отримати повну картину аудиту ASR.
• Використовуйте функції на кшталт count() та summarize, щоб ефективно аналізувати тенденції та закономірності.
• Встановіть регулярний графік аудиту, щоб підтримувати відповідність вимогам і рівень безпеки.
• Ретельно документуйте результати, щоб відстежувати прогрес і виявляти тенденції з часом.
• Постійно вдосконалюйте процеси аудиту, аналізуючи результати та збираючи відгуки.
• Проактивно усувайте прогалини в даних, щоб забезпечити надійність даних аудиту.

1. Міжробочі просторові з'єднання практичні та швидкі — Просунутий KQL підтримує з'єднання між кількома робочими просторами, що дозволяє аудитам ASR співставляти події кінцевих точок, сигнали загроз і дані конфігурації без складного ETL.
2. Наближені функції прискорюють масштабні запити — Функції на кшталт approx_count_distinct і percentile_approx дозволяють підсумовувати величезні обсяги телеметрії ASR із значно меншими витратами обчислень і майже миттєвою реакцією.
3. Оператори часових рядів виявляють тонкі тенденції — Оператори на кшталт make-series, series_fir та series_decompose допомагають виявляти поступовий дрейф правил ASR і повторювані винятки політик, які пропускають прості фільтри.
4. Збагачення сутностей вбудоване — KQL може на льоту збагачувати дані аудиту ASR розвідданими про загрози, інвентарем пристроїв і атрибутами ідентичності, формуючи контекстні сповіщення без окремих конвеєрів збагачення.
5. Рендеринг і візуалізація зменшують кількість хибних спрацювань — Використання render timechart, barchart і heatmap безпосередньо в запитах допомагає аудиторам швидко помітити аномальні спрацювання правил ASR, які варто дослідити, та відокремити їх від шуму.
6. Обмеження запитів і контроль витрат є точними — KQL надає засоби керування під час виконання запиту (наприклад, take, limit і row_count_between) та діагностику запитів, тож аудитори можуть обмежувати використання ресурсів і водночас отримувати корисні висновки щодо ASR.
7. Просунуте виявлення шаблонів за допомогою regex і sequence — Поєднання regex, mv-expand та оператора sequence дозволяє виявляти складні багатоетапні шаблони атак у журналах ASR, які простий підрахунок подій міг би пропустити.

Налаштування середовища просунутого KQL

Передумови для KQL

Перш ніж занурюватися в просунутий KQL, потрібно виконати певні передумови. Насамперед переконайтеся, що у вас є доступ до Microsoft Defender, адже саме він надає дані для ваших запитів. Знайомство з базовими концепціями програмування також допоможе краще зрозуміти KQL. Ось ключові передумови:

• Доступ до Microsoft Defender: цей інструмент необхідний для збирання даних про безпеку.
• Базове розуміння запитів до даних: уміння читати й писати прості запити зробить процес навчання плавнішим.
• Знайомство з концепціями безпеки: розуміння таких понять, як вразливості та відповідність вимогам, підвищить вашу ефективність під час аудиту.

Інструменти для KQL

Щоб ефективно працювати з KQL, потрібні правильні інструменти. Ось кілька рекомендованих інструментів, які допоможуть почати:

• Kusto Query Explorer: це веб-інструмент, який дозволяє писати та тестувати запити KQL у реальному часі.
• Azure Data Explorer: ця платформа забезпечує потужне середовище для виконання запитів KQL до великих наборів даних.
• Портал Microsoft Defender: Використовуйте цей портал для доступу до даних і аналітики безпеки, які можна аналізувати за допомогою KQL.

Налаштування середовища

Правильне налаштування середовища має вирішальне значення для оптимальної продуктивності KQL. Виконайте такі кроки, щоб ефективно налаштувати середовище:

1. Встановіть необхідні інструменти: Почніть із встановлення Kusto Query Explorer і переконайтеся, що маєте доступ до Microsoft Defender.
2. Налаштуйте джерела даних: Підключіть інструменти до відповідних джерел даних. Це підключення дозволяє отримувати дані, необхідні для ваших запитів.
3. Оптимізуйте продуктивність запитів: Використовуйте функцію materialize, щоб прискорити запити шляхом кешування проміжних результатів. Порядок операторів у запиті KQL суттєво впливає як на результат, так і на продуктивність. Тому структуруйте запити уважно, щоб досягти найкращих результатів.

Дотримуючись цих кроків, ви створите надійну основу для використання розширеного KQL в аудитах ASR. Таке налаштування не лише спростить процес аудиту, а й підвищить точність висновків.

Запити KQL для аудитів ASR

Базова структура запиту

Коли ви починаєте писати запити KQL для аудитів ASR, важливо розуміти базову структуру. Запит KQL зазвичай складається з кількох компонентів, які разом отримують потрібні дані. Ось ключові компоненти запиту KQL:

• Назва таблиці: Вона визначає джерело даних, яке ви хочете запитати. Для аудитів ASR можна використовувати таблиці на кшталт DeviceEvents або AlertEvidence.
• Оператори: Це команди, які виконують дії з даними. Поширені оператори: where, project і summarize.
• Фільтри: Ви можете застосовувати фільтри, щоб звузити результати. Наприклад, можна фільтрувати за датою або конкретними правилами ASR.
• Функції: Функції дозволяють обробляти дані. Їх можна використовувати для підрахунку випадків або обчислення середніх значень.

Функція Advanced Hunting у Microsoft Defender for Endpoint дозволяє детально аналізувати правила ASR за допомогою власних запитів KQL. Такі запити можуть показати, які правила спрацювали, які пристрої зачеплено і як це вплинуло на застосунки.

Компоненти запиту KQL

Ось простий приклад структури запиту KQL:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

У цьому прикладі ви запитуєте таблицю DeviceEvents, фільтруєте події, де тип дії дорівнює «ASRRuleTriggered», і виводите лише назву пристрою, позначку часу та тип дії.

Поширені функції KQL

KQL містить низку функцій, які розширюють можливості запитів. Ось кілька поширених функцій, які варто знати:

• count(): Ця функція підраховує кількість записів, що відповідають вашим критеріям.
• distinct(): Використовуйте цю функцію, щоб повернути унікальні значення з указаного стовпця.
• summarize: Ця функція агрегує дані за заданими критеріями, що дозволяє аналізувати тенденції в часі.

Просунуті техніки запитів

Коли ви освоїте основи, можна переходити до просунутих технік KQL, щоб отримати детальнішу інформацію з даних аудиту ASR. Ці техніки допоможуть глибше зрозуміти стан вашої безпеки.

Фільтрація даних ASR

Фільтрація має вирішальне значення, коли потрібно зосередитися на конкретних аспектах даних ASR. Щоб уточнити результати, можна використовувати кілька умов у виразі where. Наприклад:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Цей запит фільтрує спрацьовування правил ASR за останні 30 днів і підсумовує кількість спрацьовувань за назвою пристрою.

Об'єднання таблиць даних

Об'єднання таблиць даних дозволяє поєднувати інформацію з різних джерел, забезпечуючи повніший огляд ваших аудитів ASR. Для злиття таблиць за спільним полем можна використовувати оператор join. Ось приклад:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

У цьому запиті ви об'єднуєте таблицю DeviceEvents з таблицею Alerts за полем DeviceId. Це дозволяє побачити, які сповіщення відповідають спрацьовуванням правил ASR.

Завдяки освоєнню цих базових і просунутих технік KQL ви значно покращите свої можливості аудиту ASR. Ви зможете витягувати змістовні висновки та приймати обґрунтовані рішення щодо заходів безпеки вашої організації.

Інтерпретація результатів аудиту ASR

Розуміння форматів виводу

Формат результатів запитів KQL залежить від даних, які ви запитуєте. Розуміння цих форматів допомагає отримувати практичні висновки з аудитів ASR. Ось кілька ключових аспектів, які варто враховувати:

• Портал Microsoft Defender надає детальні звіти про виявлену активність. За допомогою цих звітів можна відстежувати ефективність правил зменшення поверхні атаки.
• Сповіщення формуються щоразу, коли спрацьовують правила, що дає миттєву видимість потенційних загроз.
• Ви можете переглянути журнал подій Windows. Зокрема, відфільтруйте події з ID 1121 у журналі Microsoft-Windows-Windows Defender/Operational, щоб визначити застосунки, які було б заблоковано правилами ASR.

Аналіз результатів ASR

Аналіз результатів аудиту ASR є ключовим для оцінки ефективності заходів безпеки. Ось як можна провести ґрунтовний аналіз:

1. Використовуйте режим аудиту, щоб отримати відомості про політики ASR.
2. Відкрийте портал Microsoft Defender і перейдіть до розділу «Reports».
3. У розділі «Endpoints» виберіть «Attack Surface Reduction Rules».
4. Відфільтруйте правила, щоб переглянути метрики, вибравши «All» для отримання повних даних.
5. Проаналізуйте «Audited Detections», щоб оцінити, чи були необхідними дії, які було б заблоковано.
6. Періодично переглядайте тенденції та конфігурації, щоб переконатися, що пристрої налаштовано правильно.
7. Скористайтеся сторінкою «Add exclusions», щоб керувати конкретними спрацьовуваннями правил ASR.

Дотримуючись цих кроків, ви зможете ефективно проаналізувати результати аудиту та вдосконалити стратегії безпеки.

Виявлення прогалин у безпеці

Виявлення прогалин у безпеці є критично важливою частиною процесу аудиту ASR. Ви можете використовувати висновки, отримані з запитів KQL, щоб знайти вразливості у вашій системі безпеки. Ось кілька стратегій, які допоможуть їх виявити:

• Шукайте закономірності в даних. Наприклад, якщо певні пристрої часто спрацьовують на правила ASR, для них можуть знадобитися додаткові заходи безпеки.
• Порівнюйте результати аудитів ASR у часі. Таке порівняння покаже, чи покращується ваш рівень безпеки, чи погіршується.
• Використовуйте просунуті запити KQL, щоб детально вивчити окремі інциденти. Наприклад, можна виконати запит на кшталт DeviceEvents | where ActionType startswith 'Asr', щоб отримати відомості для уточнення політик.

Активно виявляючи прогалини у безпеці, ви можете вжити проактивних заходів для посилення безпеки організації та зменшення ризику потенційних загроз.

Найкращі практики аудитів ASR

Регулярний графік аудитів

Встановлений графік регулярних аудитів є критично важливим для підтримання ефективності правил зменшення поверхні атаки. Аудити слід проводити щонайменше щокварталу. Така періодичність дозволяє бути в курсі змін у ландшафті загроз. Ось кілька порад щодо налаштування графіка аудитів:

• Визначте конкретні дати: Оберіть певні дні кожного кварталу для проведення аудитів. Така послідовність допомагає не забути та пріоритизувати це завдання.
• Залучіть свою команду: Долучіть команду безпеки до планування. Їхній внесок допоможе визначити найкращий час для аудитів з урахуванням навантаження та інших зобов'язань.
• Використовуйте автоматичні нагадування: Скористайтеся календарними інструментами, щоб налаштувати нагадування про майбутні аудити. Автоматизація зменшує ймовірність пропустити аудит.

Документування результатів

Документування результатів під час аудитів є важливим для відстеження прогресу та виявлення тенденцій. Варто створити структурований формат документації. Розгляньте включення таких елементів:

• Дата аудиту: Зафіксуйте, коли відбувся аудит.
• Підсумок висновків: Узагальніть ключові висновки, включно з усіма спрацьованими правилами зменшення поверхні атаки.
• Рекомендації: Сформулюйте практичні рекомендації на основі висновків. Цей крок гарантує, що виявлені проблеми будуть вирішені без зволікань.
• Наступні дії: Складіть перелік необхідних подальших дій і призначте відповідальних членів команди.

Ведучи ретельну документацію, ви створюєте цінний ресурс для майбутніх аудитів. Цей ресурс допоможе порівнювати результати з часом і вдосконалювати ваші стратегії безпеки.

Стратегії постійного вдосконалення

Постійне вдосконалення є критично важливим для ефективного аудиту. Вам слід регулярно переглядати процеси аудиту та вносити корективи за потреби. Ось кілька стратегій для покращення аудиту ASR:

1. Аналізуйте тенденції: шукайте закономірності в результатах аудиту. Виявлення повторюваних проблем допоможе зосередитися на сферах, які потребують покращення.
2. Збирайте зворотний зв’язок: заохочуйте команду ділитися відгуками про процес аудиту. Їхні думки можуть призвести до цінних покращень.
3. Будьте в курсі: стежте за останніми змінами в практиках безпеки та аудиту. Відвідуйте вебінари, читайте статті та беріть участь у форумах, щоб навчатися у colleagues з галузі.
4. Тестуйте нові підходи: не бійтеся експериментувати з новими техніками чи інструментами аудиту. Тестування різних методів може показати ефективніші способи проведення аудиту.

Впроваджуючи ці найкращі практики, ви зможете покращити аудит ASR і зміцнити загальну позицію безпеки. Регулярні аудити, ретельна документація та прихильність до постійного вдосконалення допоможуть вам випереджати потенційні загрози.

Типові виклики в аудитах KQL

Усунення несправностей у запитах KQL

Під час роботи з KQL ви можете зіткнутися з проблемами, які гальмують прогрес. Усунення несправностей у цих запитах є необхідним для ефективного аудиту. Ось кілька поширених проблем і рішень:

• Синтаксичні помилки: перевіряйте наявність друкарських помилок або некоректного синтаксису. KQL чутливий до форматування. Переконайтеся, що використовуєте правильні оператори та функції.
• Невідповідність типів даних: переконайтеся, що типи даних у ваших запитах відповідають очікуваним типам у базі даних. Наприклад, порівняння рядка з числом призведе до помилок.
• Проблеми продуктивності: якщо запити виконуються повільно, розгляньте можливість їх оптимізації. Використовуйте функцію summarize, щоб зменшити обсяг оброблюваних даних. Також фільтруйте дані якомога раніше в запиті.

Порада: завжди тестуйте запити частинами. Такий підхід допомагає точніше ізолювати проблеми.

Усунення прогалин у даних

Прогалини в даних можуть створювати серйозні труднощі під час аудитів. Відсутні або неповні дані можуть призвести до неточних висновків. Ось стратегії для усунення цих прогалин:

1. Регулярні перевірки даних: плануйте регулярні перевірки джерел даних. Переконайтеся, що всі відповідні потоки даних працюють коректно.
2. Використання сповіщень: налаштуйте сповіщення для критичних показників. Це дозволяє швидко реагувати, якщо дані стають недоступними.
3. Перехресна перевірка: порівнюйте дані аудиту з іншими джерелами. Така практика допомагає виявляти розбіжності та заповнювати відсутню інформацію.

Усуваючи прогалини в даних на випередження, ви підвищуєте надійність даних аудиту. Ця надійність є критично важливою для обґрунтованих рішень у сфері безпеки.

Забезпечення відповідності вимогам ASR

Забезпечення відповідності правилам ASR є життєво важливим для підтримання безпеки вашої організації. Ось кроки, які можна зробити для забезпечення відповідності:

• Регулярні аудити: проводьте аудити часто, щоб перевіряти правильність застосування правил ASR. Регулярні перевірки допомагають виявляти будь-які відхилення від відповідності.
• Документація: ведіть детальні записи аудитів. Документування результатів і вжитих дій забезпечує підзвітність і слугує орієнтиром для майбутніх аудитів.
• Навчання: проводьте навчання для команди з правил ASR та використання KQL. Добре поінформована команда краще підготовлена до підтримання відповідності та реагування на загрози безпеці.

Зосереджуючись на цих напрямах, ви можете посилити зусилля щодо відповідності та покращити загальну стратегію безпеки.

Отже, використання Advanced KQL для аудитів ASR суттєво покращує процес аудиту безпеки. Ви можете спростити аналіз і ефективніше виявляти вразливості. Ось кілька ключових висновків:

Застосовуйте ці техніки, щоб постійно покращувати свої процеси аудиту. Будьте проактивними у вдосконаленні заходів безпеки. Безпека вашої організації залежить від цього! 🔒

Поширені запитання

Що таке Advanced KQL?

Advanced KQL (Kusto Query Language) – це потужна мова запитів, яка використовується для аналізу великих наборів даних у Microsoft Defender. Вона допомагає ефективно отримувати висновки з даних безпеки.

Як почати користуватися KQL?

Почніть із доступу до Microsoft Defender і ознайомтеся з Kusto Query Explorer. Практикуйтеся у написанні простих запитів, щоб краще розуміти мову.

Чи можна автоматизувати запити KQL?

Так, запити KQL можна автоматизувати за допомогою Azure Logic Apps або Power Automate. Ці інструменти дозволяють планувати запити та отримувати сповіщення за певними умовами.

Які поширені помилки в KQL?

Поширені помилки включають синтаксичні помилки, невідповідності типів даних і проблеми з продуктивністю. Завжди перевіряйте структуру запиту та переконайтеся, що типи даних відповідають вашим очікуванням.

Як часто слід проводити аудит правил ASR?

Аудит ASR слід проводити щонайменше раз на квартал. Регулярні перевірки допомагають бути в курсі стану безпеки та забезпечувати відповідність правилам ASR.

Які інструменти підтримують KQL?

Ключові інструменти для KQL – Kusto Query Explorer, Azure Data Explorer та портал Microsoft Defender. Вони надають середовища для написання та тестування запитів.

Як покращити свої навички KQL?

Щоб покращити навички KQL, регулярно практикуйтеся, відвідуйте навчальні сесії та беріть участь в онлайн-форумах. Спілкування зі спільнотою може дати цінні висновки та поради.

Використання розширеного пошуку та defender: advanced kql для аудиту ASR

Що таке «advanced KQL для аудиту ASR» і як це пов'язано з розширеним пошуком?

Advanced KQL для аудиту ASR – це запити Kusto Query Language, призначені для отримання детальної інформації про правила Attack Surface Reduction (ASR) та їхні події аудиту. У розширеному пошуку Defender і розширеному пошуку Microsoft 365 Defender ці запити допомагають командам полювання на загрози та фахівцям з безпеки визначати пристрої з правилами в режимі аудиту, списки уражених пристроїв, розгортання політик через Intune та потенційну шкідливу активність, позначену Microsoft Defender for Endpoint.

Як перевірити, що правила ASR працюють у режимі аудиту, за допомогою запитів пошуку?

Використовуйте запити розширеного пошуку Defender, щоб отримати звіти про правила та події аудиту, які показують увімкнені правила і режим їхньої роботи (аудит або блокування). Типовий KQL, що надає детальну інформацію, об'єднує звіти про правила ASR з таблицями пристроїв і подій, щоб підтвердити правила в режимі аудиту, відобразити події правил за останні 30 днів і дати різні способи перевірки результатів аудиту, зокрема перехресну перевірку політик Intune та телеметрії Microsoft Defender XDR.

Чи можна створити власне виявлення подій ASR у Microsoft 365 Defender?

Так, ви можете створювати власні правила виявлення в Microsoft 365 Defender за допомогою запитів розширеного пошуку. KQL, що надає детальну інформацію про вектори атак і шкідливу активність, дозволяє налаштувати власне виявлення, яке сповіщає про повторювані події правил, винятки або підозрілі події аудиту, які Microsoft рекомендує відстежувати. Далі такі виявлення можна перетворити на звіти про правила або автоматизовані сценарії реагування.

Як повідомляти про активність ASR і створювати звіти про правила ASR для відповідності вимогам?

Створюйте звіт про правила Attack Surface Reduction і звіти про правила ASR, запитуючи правила виявлення та таблиці розширеного пошуку Defender, експортуючи події за останні 30 днів або за власними часовими проміжками. Використовуйте API або вбудовані функції звітності про правила в Microsoft 365, щоб створити панелі, які показують увімкнені правила, правила в режимі аудиту, кількість уражених пристроїв і тенденції, корисні для оптимізації ASR та керування розгортанням правил ASR в Intune і на локальних пристроях.

Які поширені способи перевірки аудиту та оптимізації правил ASR на основі результатів запитів?

Різні способи перевірки аудиту включають перегляд подій аудиту, порівняння правил аудиту на різних пристроях, перевірку політик Intune і стану розгортання, а також пошук загроз за допомогою розширених запитів полювання, щоб переконатися, що режим аудиту не пропускає шкідливу активність. Використовуйте результати, щоб вирішити, чи варто перейти з аудиту на блокування, додайте винятки там, де це потрібно, і оптимізуйте ASR, коригуючи стандартні правила захисту або впроваджуючи додаткові правила виявлення.

Як шукати загрози за допомогою розширеного KQL у Defender XDR і Microsoft Sentinel?

Пишіть розширені запити полювання, які перемикаються між Defender for Endpoint, даними Microsoft Defender XDR і журналами Microsoft Sentinel. Співставляйте події аудиту ASR з телеметрією кінцевих точок, виявленнями зловмисного ПЗ і мережевими індикаторами, щоб виявити підозрілі патерни. Такий підхід дозволяє полювати на загрози та визначити, чи події аудиту відповідають безпечному ПЗ, потребують винятків або свідчать про справжні спроби атак, які вимагають швидкого реагування.

Що варто включити в запити, щоб виявити уражені пристрої та деталі, специфічні для правил?

Додайте до KQL такі поля, як DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName і DetectionSource. Поєднуйте звіти про правила ASR або події правил з інвентарем пристроїв і таблицями реєстрації в Intune, щоб отримати списки уражених пристроїв, правила, увімкнені на кожному пристрої, і те, чи працює правило в режимі аудиту чи блокування. Такий KQL, що показує детальну інформацію, полегшує визначення пріоритетів виправлення та оновлення звітності щодо правил.

Як часто слід запускати розширені запити полювання і наскільки далеко в минуле їх варто виконувати (наприклад, 30 днів)?

Запускайте запити полювання безперервно або за розкладом, що відповідає вашій моделі загроз. Типовим базовим рівнем є аналіз останніх 30 днів, щоб виявити тенденції та повторювані події. Використовуйте заплановані запити в Microsoft 365 Defender або через API, щоб автоматизувати звітність про правила, і коригуйте часові вікна відповідно до потреб реагування на інциденти або під час тестування правил у режимі аудиту, щоб отримати достатньо телеметрії перед переходом у режим блокування.

Як винятки та режим блокування впливають на аудит ASR і що мають враховувати запити?

Винятки та режим блокування змінюють поведінку ASR: винятки пригнічують сповіщення для відомих безпечних застосунків, а режим блокування забезпечує запобігання. Запити полювання мають враховувати винятки, фільтруючи або позначаючи виключені процеси, і включати поля, що вказують на джерело політики (Intune, локальна політика). Це допомагає правильно інтерпретувати події аудиту та гарантує, що перехід із аудиту на блокування не призведе до несподіваної поломки критично важливих для бізнесу застосунків.

Де можна дізнатися більше про KQL і створення ефективних розширених запитів полювання для ASR?

Почніть з модулів Microsoft Learn про розширене полювання в Defender і розширене полювання в Microsoft 365 Defender, а потім практикуйтеся у створенні KQL, який показує детальну інформацію, використовуючи зразки наборів даних і реальні події правил ASR. Поєднуйте ресурси документації Microsoft Defender for Endpoint, рекомендації Microsoft Defender щодо скорочення поверхні атаки та спільноти з готовими запитами полювання, щоб розвивати навички полювання на загрози, звітності щодо правил і ефективного керування правилами ASR.

Що робити, якщо я стикаюся з прогалинами в даних?

Якщо ви виявили прогалини в даних, регулярно перевіряйте джерела даних. Налаштуйте сповіщення для критичних точок даних, щоб швидко реагувати, коли дані стають недоступними.