Consultas para a tabela ASimDnsActivityLogs

Contar falhas de DNS para uma origem por origem e tipo

Contar o número de consultas DNS falhadas para cada endereço IP de origem e tipo de falha

ASimDnsActivityLogs
| where EventType == 'Query' and EventResult == 'Failure'
| summarize count() by SrcIpAddr, EventResultDetails

Identificar uma consulta excessiva para um domínio inexistente por uma origem

Conte o número de consultas que devolvem NXDOMAIN, indicando que o nome de domínio das consultas não existe e compara a contagem com um limiar de 100.

ASimDnsActivityLogs
| where EventResultDetails == 'NXDOMAIN'
| summarize c=count() by SrcIpAddr
| where c > 100