KQL, o Kusto Query Language, è il linguaggio di query usato nelle piattaforme di sicurezza e analisi Microsoft per cercare grandi مجموعه di dati di telemetria. I difensori lo usano per filtrare gli eventi, unire i record, creare rilevamenti e individuare schemi tra i log, come attività di rete, eventi dei dispositivi e avvisi.
Nella sicurezza informatica, KQL è importante perché la qualità di una ricerca dipende dalla logica della query tanto quanto dai dati stessi. Un filtro KQL può restringere rapidamente i risultati, ma una condizione troppo specifica può nascondere prove rilevanti. Ad esempio, se un analista si affida a un solo campo per classificare il traffico di rete, le connessioni sospette possono rimanere fuori dalla ricerca anche se la query viene eseguita correttamente. Una buona ricerca KQL di solito combina più campi, verifica le ipotesi e convalida i risultati rispetto alla telemetria grezza.