Prepará SC-200 con una referencia que recuerda tu progreso.

Los registros suelen almacenar valores en mensajes libres, objetos JSON, matrices o archivos externos. KQL los extrae y normaliza en esquemas tabulares reutilizables.

extract() usa regex y grupo de captura para devolver una subcadena, opcionalmente tipada; devuelve nulo si falla.

SecurityEvent
| extend AccountName = extract(@"^(.*\)?([^@]*)(@.*)?$", 2, tolower(Account))

parse coincide con un patrón mayor y crea varias columnas. Modos: simple, regex y relaxed.

El tipo dynamic almacena matrices y property bags. Accedé con punto o corchetes y convertí a escalar cuando corresponda.

SigninLogs
| extend OS = tostring(DeviceDetail.operatingSystem), StatusCode = tostring(Status.errorCode)

parse_json()/todynamic() interpreta JSON; mv-expand crea una fila por elemento; mv-apply ejecuta una subconsulta por elemento y une resultados.

externaldata define un esquema y lee filas de Blob o Data Lake. Sirve para referencias pequeñas, no ingesta continua.

let KnownIPs = externaldata(IPAddress:string)
[
  h@"https://storage.example/known.csv?...SAS..."
]
with (format="csv", ignoreFirstRecord=true);
SigninLogs
| where IPAddress in (KnownIPs)

Protegé credenciales y SAS; no pongas secretos en consultas compartidas.

Un analizador es una función KQL que convierte datos no estructurados en una tabla virtual estable. Creá y probá la consulta, elegí Guardar como función y asigná nombre y parámetros.

// Saved as function: PrivLogins
SecurityEvent
| where EventID == 4672
| where AccountType == "User"

PrivLogins
| summarize Events = count() by Account

Las funciones centralizan normalización para reglas, libros y búsquedas.

Distinguí extract/parse, escalares de dynamic, mv-expand/mv-apply, datos externos de registros ingeridos y consulta ad hoc de función guardada.

Normalizá al consultar: extraé campos estables, expandí matrices cuidadosamente, enriquecé con datos gobernados y guardá lógica repetida como funciones.