Prepará SC-200 con una referencia que recuerda tu progreso.

Kusto Query Language (KQL) es el lenguaje de solo lectura detrás de los registros, reglas de análisis, libros y búsqueda de Sentinel. Este módulo presenta operadores para recuperar, filtrar, transformar, ordenar y dar forma a los datos.

Una consulta es una secuencia de instrucciones. Una expresión tabular comienza con un origen y envía filas por operadores separados por |; cada operador recibe el resultado completo de su izquierda.

SecurityEvent
| where TimeGenerated > ago(1d)
| summarize Events = count() by Account
| top 10 by Events desc

search busca texto entre tablas y columnas. Sirve para descubrir el esquema, pero es menos eficiente que consultar una tabla y columna conocidas.

search "err"

search in (SecurityEvent, SecurityAlert, A*) "err"

where devuelve filas cuyo predicado booleano es verdadero. Filtrá pronto por tiempo y campos selectivos.

SecurityEvent
| where TimeGenerated > ago(1h)
| where EventID in (4624, 4625)
| where AccountType =~ "user"

• == distingue mayúsculas; =~ no.
• in (...) prueba contra una lista.
• Varios where mejoran legibilidad.

let vincula un nombre a un escalar, expresión tabular, lista dinámica, vista o función. Mejora legibilidad, reutilización y umbrales consistentes; cada declaración termina en punto y coma.

let timeframe = 7d;
let suspiciousEvents = dynamic([4625, 4672]);
SecurityEvent
| where TimeGenerated > ago(timeframe)
| where EventID in (suspiciousEvents)

Una expresión tabular puede referenciarse como tabla. ago() calcula tiempo relativo.

extend calcula columnas y las agrega al resultado; las existentes permanecen salvo que un operador project las quite.

SecurityEvent
| where ProcessName != "" and Process != ""
| extend StartDir = substring(ProcessName, 0, string_size(ProcessName) - string_size(Process))

Usalo para normalizar, convertir tipos, calcular riesgo o derivar campos.

order by o sort by ordena por una o más columnas. La dirección predeterminada es descendente; especificá asc o desc.

SecurityEvent
| order by TimeGenerated desc, Computer asc

Ordenar es costoso; filtrá y proyectá antes.

SecurityEvent
| where EventID == 4625
| project TimeGenerated, Computer, User = Account, IpAddress

Elegí el operador correcto: search para ubicación desconocida, where para filas, let para reutilización, extend para cálculos, order by para ordenar y project para la salida.

Creá consultas de izquierda a derecha, filtrá pronto, nombrá lógica reutilizable, derivá solo campos necesarios y terminá con un esquema limitado.