Skill 多语言阅读指南
azure-kusto-irql用途、用法与原始来源
为 Kusto 网络安全调查编写 IRQL（事件响应查询语言）查询。使用 Get_*、Extract_* 和 Enrich_* 函数将自然语言狩猎问题转换为可组合的 IRQL 管道。适用场景：IRQL 查询、安全狩猎、威胁狩猎 KQL、事件响应查询、编写狩猎管道、登录失败、网络钓鱼调查、横向移动、进程执行、文件创建事件。
原文采集时间:
- 来源仓库
- microsoft/skills
- SKILL.md
.github/plugins/azure-kusto-graph-skills/skills/azure-kusto-irql/SKILL.md- 仓库 Star
- 3,157
- 仓库最近更新
- 2026/10/31
- 能力分类
- 云服务
- 最近采集时间
许可：许可文件待核验
流程片段用于帮助阅读上游说明。本页没有执行第三方 Skill，不属于实测评测。
下面的用途和操作片段来自上游文档，由本站整理并翻译，和另行标注的 Codez 编辑分析分开展示。
这个 Skill 能做什么
为 Kusto 网络安全调查编写 IRQL（事件响应查询语言）查询。使用 Get_*、Extract_* 和 Enrich_* 函数将自然语言狩猎问题转换为可组合的 IRQL 管道。适用场景：IRQL 查询、安全狩猎、威胁狩猎 KQL、事件响应查询、编写狩猎管道、登录失败、网络钓鱼调查、横向移动、进程执行、文件创建事件。
如何使用：上游操作流程
IRQL——事件响应查询语言
使用选择器、提取器和增强器构建模块来构建 IRQL 函数管道。IRQL 将原始 KQL 安全表封装在可组合的、能够揭示意图的函数之后，使分析师（和 LLM）无需记忆模式、集群位置或连接键即可表达搜索意图。
原文片段 · L10 ↗IRQL 功能预检
在生成管道之前，请验证目标数据库是否支持 IRQL：如果未找到 IRQL 函数，请告知用户目标数据库未部署 IRQL，并建议使用其他方法。azure-kusto改为使用原始 KQL 查询。IRQL 函数是前提条件——此技能不会部署基础 IRQL 选择器。
.show functions
| where Name startswith "Get_" or Name startswith "Extract_" or Name startswith "Enrich_"
| project Name环境与依赖
本次未从该文件选出独立的环境要求片段，不代表无需依赖。请继续核对仓库的安装说明和引用文件。
限制与结果检查
本次未从该文件选出独立的限制片段，不代表适用于所有输入或环境。请阅读完整原文，并自行验证实际结果。
开始使用前
- 先核对支持的 Agent 宿主和仓库安装说明。保留完整 Skill 目录及其引用的脚本、资源和文档，只复制 SKILL.md 可能漏掉依赖。
- 向 Agent 提供实际输入、期望输出和验收标准。调用方式与可用工具取决于宿主环境，本站不假定存在通用的安装命令。
- 先在临时项目或输入副本上试用。涉及修改文件、远程服务或计费资源的操作，应逐项核对后再授权。
- 按照原文检查项和自己的需求验证输出。成功触发或仓库 Star 较高，都不能证明结果正确。
继续阅读原始文档
相关 Skill
翻译与介绍范围
本页从固定版本的上游 SKILL.md 整理用途与操作片段，译文使用辅助翻译。它不是完整手册，也不代表经过兼容性实测；使用前请核对原文及其引用文件。
介绍依据下方列出的固定版本；当前仓库动态和目录采集时间单独展示。
- 固定版本来源
- 阅读原文 ↗
- 原文采集时间
- 来源提交版本
00d66a64919edca5bca2c673373444e36a4b5461- 原文 SHA-256
3708f24ab3a0754dbd862efbd94740e01f619590567c9ff45243435ac8394e96