LecturaBienvenida al curso
Bienvenido a KQL para analistas: consultas en Microsoft Sentinel y Azure Data Explorer. En un SOC que trabaja con Microsoft, la pregunta del supervisor a las 3 de la mañana suena así: "¿cuántos 4625 hubo por equipo en la última hora, y desde qué IP?". Quien escribe esa consulta en dos minutos resuelve la alerta; quien no, abre un ticket pidiendo ayuda. Aquí aprende a escribirla sin pagar una suscripción de Azure.
Qué va a lograr
- Responder una pregunta de triaje con menos de diez líneas de
where,project,extend,summarize,binytop. - Elegir entre
==,hasycontainssabiendo qué devuelve cada uno y cuánto le cuesta al clúster. - Correlacionar inicios de sesión con procesos usando
let,joinylookup. - Ubicar los campos de una alerta en
SecurityEvent,SigninLogs,DeviceProcessEventsyOfficeActivity. - Traducir una consulta a SPL de Splunk y explicar por qué no siempre dan el mismo número.
- Convertir una consulta de caza en una regla analítica con umbral, ventana y entidades.
Para quién es y qué necesita
Es para quien se forma como analista N1. Requiere Introducción al SOC: su primer turno como analista. Ayudan Los eventos de Windows que todo analista revisa (el 4624 y el 4625 aparecen en casi todos los ejemplos) y Bases de datos y SQL para ciberseguridad: si ya agrupó en SQL, media KQL le resultará conocida.
Para practicar necesita una cuenta Microsoft personal (la de Outlook o Xbox sirve) y un navegador: con eso entra gratis al clúster público de Microsoft y crea uno propio, sin tarjeta. El último laboratorio pide una máquina virtual Ubuntu con unos 4 GB de RAM libres para Splunk; si su equipo no da, tiene una variante en papel.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Del SIEM a Kusto | Qué es KQL, dónde corre, el clúster help y su clúster gratuito | Primeras preguntas a StormEvents |
| 2. Filtrar y dar forma | where, operadores de texto, project, extend, parse, JSON, summarize y bin | La fuerza bruta de Cafetal Digital, con bandera |
| 3. Consultas del analista | Tablas de Sentinel, let, join, lookup, union y series de tiempo | Password spraying que terminó en un proceso |
| 4. De la consulta a la detección (y a SPL) | Reglas analíticas programadas, equivalencias KQL y SPL | La misma caza en Splunk Free |
| Evaluación | 10 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Escriba cada consulta letra por letra. Copiar y pegar funciona hasta el primer error de sintaxis, y KQL distingue mayúsculas: securityevent no existe, SecurityEvent sí. Ese error se aprende a leer cometiéndolo.
Las preguntas cortas de cada lección no dan puntos. El centro del curso son los cuatro laboratorios: el de la fuerza bruta termina con una bandera secwing{...} que comprueba en la misma página, y los otros tres con números de control que cuadran o no. La solución viene plegada al final de las pistas; ábrala después de intentarlo.
Al aprobar la evaluación final con 70 % o más recibe el certificado y la insignia del curso.
Tiempo estimado
Unas 4 horas. Los laboratorios piden bloques de 25 minutos sin interrupciones; las lecciones de texto se pueden leer en el bus, pero las consultas se escriben frente al teclado.