Defender高级查询：邮件附件异常检测无法渲染折线图求助

问题根源 #

你的查询能返回结果但无法渲染折线图，核心原因是：

• 原查询最后通过where和summarize只保留了离散的异常数据点，缺少连续的时间序列数据——折线图需要基于完整的时间轴区间（包括无异常的时段）才能绘制出连续线条。
• 最终输出的字段结构和数据分布不符合折线图对连续维度数据的要求。

修改后的查询示例 #

let interval = 12h;
// 异常阈值
let AnomalyThreshold = 1;
// 唯一发件人阈值
let SenderThreshold = 5;
EmailAttachmentInfo
// 按文件类型和发件人生成完整时间序列（包含所有时间区间，计数为0的时段也保留）
| make-series DistinctMailCount = count() on Timestamp from ago(10d) to now() step interval by FileType , SenderFromAddress
// 执行异常检测
| extend (AnomaliesDetected, AnomaliesScore, AnomaliesBaseline) = series_decompose_anomalies(DistinctMailCount, AnomalyThreshold, -1, 'linefit')
// 展开所有时间点数据
| mv-expand 
    DistinctMailCount to typeof(double), 
    Timestamp to typeof(datetime), 
    AnomaliesDetected to typeof(double), 
    AnomaliesScore to typeof(double), 
    AnomaliesBaseline to typeof(long)
// 标记异常状态，方便图表区分
| extend IsAnomaly = iif(AnomaliesDetected == 1 and DistinctMailCount >= SenderThreshold, "异常", "正常")
// 保留绘图所需的核心字段
| project Timestamp, SenderFromAddress, FileType, DistinctMailCount, IsAnomaly, AnomaliesBaseline
// 渲染折线图，明确指定轴和分组维度
| render linechart with (
    xcolumn=Timestamp, 
    ycolumns=DistinctMailCount, AnomaliesBaseline, 
    splitby=SenderFromAddress, FileType, 
    title="发件人邮件附件异常趋势"
)

关键修改说明 #

1. 保留完整时间序列：移除了原查询中仅筛选异常行的逻辑，确保每个时间区间的数据都被保留，折线图能基于连续时间轴生成线条。
2. 明确图表参数：在render语句中指定xcolumn（时间轴）、ycolumns（数值轴）和splitby（分组维度），让图表引擎能正确识别数据结构。
3. 增加异常标记：通过IsAnomaly字段可以在图表中区分正常数据与异常数据，提升可读性。

额外优化建议 #

• 如果分组维度（发件人+文件类型）过多导致图表拥挤，可以减少分组（比如仅按FileType或SenderFromAddress分组），或添加where条件筛选特定发件人/文件类型。
• 若折线仍不明显，可调整interval为更小的时间单位（如6h或1h），增加数据点密度。

内容的提问来源于stack exchange，提问作者sl0th