Kurzer Check
Rate zuerst, ohne Punktabzug. Du willst nach einer IP-Adresse suchen, die viele Konten ausprobiert. Welche Anfrage bringt eine Abfrage, die du prüfen kannst?
KQL (Kusto Query Language) ist die Abfragesprache von Microsoft Sentinel und anderen Security-Tools von Microsoft. Ein SIEM (ein System für Security Information and Event Management) sammelt Logs an einem Ort, und eine Hunting-Abfrage durchsucht sie nach Anzeichen eines Angriffs. KI-Assistenten entwerfen solche Abfragen heute aus normaler Sprache. Microsofts Überblick zu Security Copilot nennt das Erstellen von KQL-Abfragen aus natürlicher Sprache als einen Hauptanwendungsfall.
Eine entworfene Abfrage scheitert still, wenn die KI rät. Gib ihr also, was sie sonst raten würde:
- Daten: die Tabelle, etwa SecurityEvent, und die Felder, die du kennst.
- Muster: wonach du suchst, in einem Satz.
- Zeitraum: die letzte Stunde, die letzten 24 Stunden, eine bestimmte Nacht.
- Rechenweg zeigen: Bitte sie, jedes Feld und jede Event-ID zu erklären, auf die sie sich stützt. Eine falsche Erklärung ist der Fehler, den du am leichtesten entdeckst.
Ein Beispiel
Ein Prompt (die Nachricht, die du an die KI schickst):
Schreib eine KQL-Abfrage für Microsoft Sentinel, die eine IP-Adresse findet,
die sich bei vielen verschiedenen Konten anzumelden versucht.
Daten: Tabelle SecurityEvent (TimeGenerated, EventID, Account, IpAddress).
Zeitraum: die letzten 24 Stunden.
Rückgabe: die Abfrage, was jede Event-ID und jedes Feld bedeutet, und eine
Möglichkeit, sie an einem Zeitpunkt zu testen, an dem das bekanntlich passiert ist.Lücken füllen
Füll die Lücken.
Prompt
Schreib eine KQL-Abfrage auf die für . Erklär und wie ich sie an einem bekannten Ereignis teste.
Probier es aus
Deine Schritte, etwa 2 Minuten
- 1.Schreib den Prompt für eine Suche, die du oft machst, lass ihn laufen und lies die Erklärungen zu Feldern und Event-IDs vor der Abfrage. Füg „jedes Feld erklären lassen“ deiner Checkliste hinzu.2 Min.