如何在MDE高级狩猎KQL中调用Azure Blob Storage文件？

可行性确认 #

该操作完全可行，MDE高级狩猎的KQL支持通过带SAS令牌的Azure Blob Storage URL读取外部CSV文件，你遇到的权限拒绝问题是代码编写错误导致的。

问题定位 #

你的KQL代码存在三个关键错误：

• URL与SAS令牌未正确拼接：externaldata要求传入完整的带SAS的URL字符串，你将URL和SAS拆分为两行，KQL会将它们识别为两个独立的无效路径，而非完整地址。
• SAS令牌前存在多余字符：SAS开头的h是多余的，会导致URL格式错误，无法被正确解析。
• 注释位置错误：在externaldata的URL参数块中插入注释会干扰字符串的完整性，KQL无法正确识别有效URL。

修正后的代码 #

let testurls = 
externaldata (url:string) [
    @"https://blahblah01.blob.core.windows.net/indicators/testing123.csv?sp=r&st=2022-11-07T19:46:22Z&se=2022-11-08T03:46:22Z&spr=https&sv=2021-06-08&sr=b&sig=rtblahblahblah"
]
| project url;
testurls

额外注意事项 #

• 确保SAS令牌的权限包含r（读取），你的令牌中sp=r符合要求；同时检查SAS的有效期是否在当前时间范围内。
• 确认Azure Blob容器的访问策略未限制SAS令牌的使用（比如未设置IP白名单，或你的MDE高级狩猎环境IP在允许列表内）——既然你能用wget下载，这一点大概率没问题。

内容的提问来源于stack exchange，提问作者Dirk Pitt