[Документация Yandex Cloud](../index.md) > [Yandex SIEM](index.md) > Начало работы

# Как начать работать с Yandex SIEM

{% note info %}

Функциональность находится на стадии [Preview](../overview/concepts/launch-stages.md). Чтобы получить доступ, обратитесь в [техническую поддержку](https://kz.center.yandex.cloud/support) или к вашему аккаунт-менеджеру.

{% endnote %}

В этом руководстве вы создадите расследование и выполните первый запрос на языке [KQL (Kusto Query Language)](kql-reference.md).

## Перед началом работы {#before-you-begin}

Раздел Yandex SIEM появится в интерфейсе Cloud Center как модуль Security Deck после одобрения заявки на доступ.

Для работы с сервисом вам потребуется [роль](../iam/roles-reference.md#ycdr-admin) `ycem.editor`.

## Создайте расследование {#create-investigation}

1. Перейдите в сервис [Security Deck](https://center.yandex.cloud/security/).
1. На панели слева выберите **Yandex SIEM**.
1. Перейдите на вкладку **Расследования**.
1. Нажмите **Новое расследование**.
1. Введите название расследования, например: `Анализ неудачных входов`.
1. В поле **Описание** добавьте описание: `Поиск неудачных попыток входа в консоль за последние 30 минут`.

## Создайте запрос {#create-query}

1. В редакторе запросов введите следующий KQL-запрос:

   ```kql
   Events
   | project event_class, ['time']
   | limit 1
   ```

   Этот запрос:
   * выбирает события из таблицы `Events`;
   * отображает поля `event_class` и `time`;
   * ограничивает результат одной записью.

1. Выберите временной период **Последние 30 минут**.
1. Нажмите кнопку запуска запроса.

## Проанализируйте результаты {#analyze-results}

После выполнения запроса результаты отображаются в таблице с полями:

* `event_class` — класс события;
* `time` — время события.

Это простой пример запроса для проверки работоспособности сервиса. Для более сложного анализа используйте другие запросы и фильтры.


## Что дальше {#whats-next}

* Узнайте больше о [расследованиях](concepts/investigations.md) и [запросах](concepts/queries.md).
* Научитесь [управлять расследованиями](operations/investigations/manage-investigations.md).
* Изучите [работу с запросами](operations/queries/index.md).
* Изучите [справочник KQL](kql-reference.md).