Guía de lectura localizada
azure-kusto-irqlFinalidad, uso y origen
Crea consultas IRQL (Incident Response Query Language) para investigaciones de ciberseguridad con Kusto. Traduce preguntas de búsqueda en lenguaje natural a secuencias IRQL componibles mediante las funciones Get_*, Extract_* y Enrich_*. CUANDO: consulta IRQL, búsqueda de seguridad, búsqueda de amenazas KQL, consulta de respuesta a incidentes, secuencia de búsqueda compuesta, inicios de sesión fallidos, investigación de phishing, movimiento lateral, ejecución de procesos, eventos de creación de archivos.
Fuente recuperada:
- Repositorio de origen
- microsoft/skills
- SKILL.md
.github/plugins/azure-kusto-graph-skills/skills/azure-kusto-irql/SKILL.md- Estrellas del repositorio
- 3,157
- Actualización del repositorio
- 2026-10-31
- Clasificación de habilidades
- Servicios en la nube
- Última recopilación
Licencia: Documentos de licencia pendientes de verificación
Los extractos del flujo de trabajo son guías de lectura, no instrucciones ejecutables de Codez. No se utilizó ninguna habilidad de terceros para generar esta página.
Los siguientes fragmentos sobre el propósito y el flujo de trabajo son material preliminar, organizado y traducido para su lectura. Son distintos del análisis editorial de Codez, que se presenta por separado.
Lo que hace esta habilidad
Crea consultas IRQL (Incident Response Query Language) para investigaciones de ciberseguridad con Kusto. Traduce preguntas de búsqueda en lenguaje natural a secuencias IRQL componibles mediante las funciones Get_*, Extract_* y Enrich_*. CUANDO: consulta IRQL, búsqueda de seguridad, búsqueda de amenazas KQL, consulta de respuesta a incidentes, secuencia de búsqueda compuesta, inicios de sesión fallidos, investigación de phishing, movimiento lateral, ejecución de procesos, eventos de creación de archivos.
Cómo funciona el flujo de trabajo ascendente
IRQL: Lenguaje de consulta para la respuesta a incidentes
Cree flujos de funciones IRQL a partir de bloques de construcción de selectores, extractores y enriquecedores. IRQL encapsula las tablas de seguridad KQL sin procesar tras funciones componibles que revelan la intención, de modo que los analistas (y los gestores de lógica de negocio) puedan expresar búsquedas sin memorizar esquemas, ubicaciones de clústeres ni claves de unión.
Paso río arriba · L10 ↗Disparadores de activación
Utilice esta habilidad cuando el usuario: Mencione explícitamente IRQL,Get_*,Extract_*, oEnrich_*funciones
Función IRQL previa al vuelo
Antes de generar una canalización, verifique que IRQL esté disponible en la base de datos de destino: si no se encuentran funciones IRQL, informe al usuario que IRQL no está implementado en la base de datos de destino y sugiera usarazure-kustoEn su lugar, utilice consultas KQL sin procesar. Las funciones IRQL son un requisito previo; esta habilidad no implementa selectores IRQL básicos.
.show functions
| where Name startswith "Get_" or Name startswith "Extract_" or Name startswith "Enrich_"
| project NameRequisitos y configuración
No se seleccionó ningún fragmento de requisitos breves de este archivo. Esto no significa que la habilidad no tenga dependencias. Consulte las instrucciones de configuración del repositorio y los archivos de referencia.
Límites y controles de calidad
No se seleccionó ningún pasaje con límites específicos en este archivo. Esto no significa que la habilidad sea segura para cualquier entrada o entorno. Revise el código fuente completo y valide su propio resultado.
Comience con una prueba segura.
- Verifique el host compatible y las instrucciones de instalación del repositorio. Mantenga juntos el directorio Skill y sus scripts, recursos y documentación a los que hace referencia;SKILL.mdsolo puede omitir dependencias.
- Proporcione al agente sus datos reales, el resultado deseado y los criterios de aceptación. La sintaxis de invocación y las herramientas disponibles dependen del sistema anfitrión; este sitio no presupone un comando de instalación universal.
- Pruebe el flujo de trabajo original en un proyecto desechable o en una copia. Revise las operaciones que modifican archivos, servicios remotos o recursos facturables antes de autorizarlas.
- Valide el resultado comparándolo con los controles de calidad de origen y sus propios requisitos. Un activador exitoso o un alto número de estrellas en el repositorio no garantizan un resultado correcto.
Lea más en la fuente
- IRQL: Lenguaje de consulta para la respuesta a incidentes
- Disparadores de activación
- Función IRQL previa al vuelo
- ¿Qué es IRQL?
- Implementación de IRQL
- 1Selectores --
Get_* - 2Extractores --
Extract_* - 3Enriquecedores --
Enrich_* - Reglas de composición
- Directrices para la generación de consultas
- Ejemplos
- Abrir consultas en Kusto Explorer (solo para Windows)
Habilidades relacionadas
Traducción y alcance
Esta guía de lectura selecciona pasajes de la sección fijada en la parte superior.SKILL.mdLa traducción es asistida. No se trata de un manual completo ni garantiza la compatibilidad. Lea el original y los archivos a los que hace referencia antes de usarlo.
Esta introducción hace referencia a la versión fijada a continuación; la actividad actual del repositorio y la hora de recopilación se muestran por separado.
- Fuente fijada
- Lee el original ↗
- Fuente recuperada
- Confirmación de origen
00d66a64919edca5bca2c673373444e36a4b5461- Fuente SHA-256
3708f24ab3a0754dbd862efbd94740e01f619590567c9ff45243435ac8394e96