KQLのクエリと仮想テーブル

KQL で実行されたクエリの結果はすべて仮想テーブル（Virtual Table）として扱われます。これにより、柔軟にクエリ同士を組み合わせたり、さらに加工したりすることができます。

また、KQLでは関数（function）を作成して、クエリロジックを部品化することもできます。これによって再利用性が高まり、長いクエリを簡潔に管理できます。

以下は関数を使ってエラーイベントだけを抽出する例です。

.create function GetRecentErrors() {
    EventLog
    | where EventLevel == "Error"
    | where Timestamp > ago(1d)
}

この関数は呼び出すだけで仮想テーブルのように使えます。

project演算子とbin関数の使い方

project 演算子は、列の選択や名前変更、新しい列の定義などに使います。SQLの SELECT に似ていますが、より明示的で列操作に特化しています。

DeviceEvents
| project Timestamp, DeviceName, ReportId

bin 関数は主に時間や数値を一定の区切りにまとめたいときに使います。特に timechart と組み合わせて時間単位での集計を行う際に便利です。

SecurityEvent
| summarize count() by bin(TimeGenerated, 1h)

Microsoft Defender for Endpoint などのセキュリティ製品から送られるアラートは、SecurityAlert テーブルに格納されます。このテーブルには製品名、アラートの種類、検出内容、発生時刻などが含まれます。

SecurityAlert
| where ProductName == "Microsoft Defender for Endpoint"

また、複数のアラートを一つにまとめたインシデント情報は SecurityIncident テーブルに記録されます。

テーブル名	目的
SecurityAlert	個別のアラート情報。技術的で詳細なログ
SecurityIncident	関連アラートをまとめた調査・対応の単位

Threat Intelligence（脅威インテリジェンス）は3つのレベルに分類されます。

Indicator of Compromise（IOC）は Tactical 情報に分類され、以下のようなものが該当します。

参考: https://learn.microsoft.com/ja-jp/azure/sentinel/understand-threat-intelligence