ワークスペースに追加します。詳細については、次の記事を参照してください。トークン検索ルールと検出ルールのクエリのウォッチリストウォッチリストを結合または検索のためのテーブルとして扱うことで、ウォッチリストのデータを基にしてテーブルのデータのクエリを実行します。検索キーは、他のデータとの結合または頻繁に検索されるオブジェクトとして使用するウォッチリスト内の列の名前です。ウォッチリストがあるとします。国番号は、検索や結合に頻繁に使用します。そこで、国番号の列を検索キーとして使用します。いう名前のウォッチリストに対して定義されている検索キーと結合されます。$right.SearchKey他のクエリの例を見てみましょう。分析ルールでウォッチリストを使用するとします。いう名前のウォッチリストを作成します。アドレスを持つイベントのみを含めるには、ウォッチリストを変数として使用するクエリ、またはウォッチリストをインラインで使用するクエリを使用できます。次のクエリ例では、ウォッチリストを変数として使用しています。(watchlist)次のクエリの例では、クエリにインラインになったウォッチリストと、ウォッチリストに対して定義された検索キーが使用されています。ウォッチリストを使用してクエリまたは検出ルールを作成する」を参照してください。詳細については、次の記事を参照してください。ウォッチリストを作成するウォッチリストを使用してクエリと検出ルールを作成するウォッチリストの管理データと潜在的な脅威を可視化する方法についての説明。使用した脅威の検出の概要。ブックを使用してデータを監視する。