Primeros pasos con KQL
Avanza desde las consultas básicas hasta agrupar, visualizar, combinar tablas y extraer datos de logs. La secuencia sigue los temas de la ruta de Microsoft Sentinel SC-200, adaptados a este motor y sus registros locales. Abre cada tema para leer su descripción y entrar a practicar.
Explorar y consultar eventos
Aprenderás a elegir el origen de los datos, buscar términos, filtrar y ordenar eventos, y seleccionar o preparar columnas para investigar.
01Estructura: origen y operadoresDisponible
Reconoce la tabla que aporta los eventos, la barra que conecta operadores y cómo inspeccionar una muestra pequeña.
02Buscar un término con searchDisponible
Busca una palabra en los campos de los eventos y acota la búsqueda al origen elegido.
03Filtrar filas con whereDisponible
Escribe condiciones para conservar los eventos que cumplen el criterio de búsqueda.
04Reutilizar valores con letDisponible
Guarda un valor en una variable escalar y reutilízalo para filtrar eventos.
05Crear columnas con extendDisponible
Crea un campo de contexto a partir del usuario y el equipo, y decide qué columnas mostrar.
06Ordenar con order byDisponible
Ordena los resultados por tiempo para revisar primero los eventos recientes o antiguos.
07Elegir columnas con projectDisponible
Selecciona y ordena las columnas que necesitas para concentrarte en la información relevante.
Agrupar y evaluar resultados
Aprende a condensar muchos eventos en resultados comparables y luego a filtrar los grupos que cumplen un umbral.
08Contar eventos por equipo con summarizeDisponible
Agrupa los registros por equipo y calcula cuántos eventos aporta cada uno.
09Filtrar resultados agrupadosDisponible
Aplica where después de summarize para quedarte con los grupos que superan un recuento.
10Preparar resultados con dcount y make_setDisponible
Compara el total de filas, las cuentas únicas y la lista de usuarios por equipo.
11Encontrar el primer y el último eventoDisponible
Usa min, max y arg_max para resumir el periodo y recuperar campos de la fila más reciente.
12Agrupar eventos en intervalos de cinco minutosDisponible
Usa bin para resumir la actividad en bloques de tiempo comparables.
13Visualizar una serie temporal con renderDisponible
Convierte recuentos por tiempo en un gráfico de líneas del laboratorio.
Combinar y relacionar orígenes
Aprende cuándo reunir eventos con union y cuándo cruzar tablas con join usando una clave que tenga sentido para la investigación.
14Combinar orígenes con unionDisponible
Reúne eventos de Sysmon y SecurityEvent conservando el nombre de su origen.
15Relacionar tablas con joinDisponible
Cruza procesos y autenticaciones por equipo y observa qué significa una coincidencia.
Extraer y enriquecer datos
Practica extracción de texto y XML, y relaciona eventos con una tabla de referencia cargada localmente. Los ejercicios no consultan servicios externos.
16Extraer datos de un mensaje con extractDisponible
Recupera un usuario desde el texto de un mensaje con una expresión regular.
17Separar campos con parseDisponible
Separa un mensaje de formato repetible con delimitadores conocidos.
18Inspeccionar XML con parse_xmlDisponible
Convierte EventData a un objeto dinámico y explora su estructura.
19Cruzar eventos con inteligencia localDisponible
Enriquece conexiones con una tabla personalizada ya cargada en el conjunto de práctica.
20Unir extracción y enriquecimientoDisponible
Combina filtros, extracción de un mensaje y join para preparar evidencia de una investigación.