Microsoft KQL temelleri

Microsoft'un güvenlik ürünleri (Sentinel, Defender, Log Analytics) aynı sorgu dilini paylaşır: KQL (Kusto Query Language). Yapısı SPL'e çok benzer; sorgu bir tablo adıyla başlar, ardından boru işaretiyle art arda operatör eklenir. SecurityEvent | where EventID == 4625 yazdığında önce SecurityEvent tablosunu seçer, sonra where ile yalnız 4625 olan satırları bırakırsın. KQL büyük küçük harfe duyarlıdır; hem tablo hem alan adlarını doğru harflerle yazman gerekir, SPL'in bu konudaki gevşekliği burada yoktur. Bu ortaklık, Sentinel'de bir tabloyu öğrenen analistin Defender ya da Log Analytics'teki başka bir tabloyu da aynı mantıkla okumasını kolaylaştırır.

summarize, SPL'deki stats'ın karşılığıdır ve gruplayıp sayar: summarize count() by IPAddress. project yalnız istediğin sütunları bırakır, SPL'deki table'a karşılık gelir. extend ise eval gibi yeni bir hesaplanmış alan ekler. Zaman penceresi ago() işleviyle yazılır: TimeGenerated > ago(1h) son bir saati kapsar, ago(7d) son yedi günü. Sorgunun en başına bir zaman filtresi koymak, Splunk'taki earliest ile aynı nedenle önemlidir: taranan veriyi daraltır ve sorguyu hızlandırır. Karşılaştırma işleçleri de benzer bir mantık taşır: == eşitlik, != eşitsizlik kurar; contains bir metnin içinde geçen alt diziyi arar, startswith ise alanın belirli bir önekle başlayıp başlamadığını sınar.

SigninLogs
| where TimeGenerated > ago(1h)
| where ResultType != "0"
| summarize FailCount = count() by IPAddress
| sort by FailCount desc

Sorgu SigninLogs tablosuyla başlar. İlk where zaman penceresini son bir saate indirir, ikincisi yalnız başarısız girişleri bırakır çünkü ResultType alanı 0 dışında bir kod taşıyorsa giriş başarısız demektir. summarize FailCount = count() by IPAddress her IP için ayrı bir satır açar ve yeni alana FailCount adını verir. sort by FailCount desc en çok başarısız deneme yapan IP'yi öne alır. Adımların sırası SPL'dekiyle aynıdır: önce daralt, sonra grupla, sonra sırala.