Microsoft Sentinel KQL レシピ集｜SOC 業務で即活用できる 20 パターン

KQL (Kusto Query Language) は Microsoft Sentinel の事実上必須スキルです。 Sentinel のすべてのクエリ・Hunting Query・Workbook・Analytics Rule は KQL で記述されます。 本記事では、SOC アナリストが日常業務で即活用できる KQL レシピを 20 パターン以上、解説付きで整理します。

KQL 基本構文

KQL は SQL に似たパイプライン構文 (table | where ... | summarize ...) で、ログ分析・脅威ハンティングに最適化されています。

代表演算子

• project: 列選択
• extend: 列追加 (派生列)
• summarize: 集計 (count・sum・avg・dcount)
• where: フィルタ
• join: 結合
• union: テーブル結合 (縦)
• parse: 文字列パース
• extract: 正規表現抽出
• mv-expand: 配列展開
• bin: 時間バケット化 (bin(TimeGenerated, 1h))
• ago: 過去時間 (ago(7d))
• now: 現在時刻

レシピ 1: 失敗サインイン検知 (Brute Force)

過去 1 時間に同一 User + IP から 10 回以上の失敗サインインを検出。

SigninLogs
| where TimeGenerated > ago(1h)
| where ResultType != 0
| summarize FailedCount = count() by UserPrincipalName, IPAddress
| where FailedCount > 10
| order by FailedCount desc

レシピ 2: パスワードスプレー成功検知

失敗多数の後に成功したアカウントを検出 (パスワードスプレー成功の典型パターン)。

SigninLogs
| where TimeGenerated > ago(1h)
| summarize FailedCount = countif(ResultType != 0),
            SuccessCount = countif(ResultType == 0)
            by UserPrincipalName, IPAddress
| where FailedCount > 5 and SuccessCount > 0

レシピ 3: Impossible Travel (短時間異拠点サインイン)

24 時間以内に複数地理的位置からのサインインを検出。

SigninLogs
| where TimeGenerated > ago(24h)
| where ResultType == 0
| extend Country = tostring(LocationDetails.countryOrRegion)
| summarize CountryList = make_set(Country),
            IPList = make_set(IPAddress),
            TimeList = make_list(TimeGenerated)
            by UserPrincipalName
| where array_length(CountryList) > 1

レシピ 4: 管理者ロールアサイン検知

特権ロール (Global Admin・Privileged Role Admin) の付与を検知。

AuditLogs
| where TimeGenerated > ago(7d)
| where OperationName == "Add member to role"
| extend RoleName = tostring(TargetResources[0].modifiedProperties[1].newValue)
| extend AddedUser = tostring(TargetResources[0].userPrincipalName)
| where RoleName in ("Global Administrator", "Privileged Role Administrator")
| project TimeGenerated, AddedUser, RoleName,
          InitiatedBy = tostring(InitiatedBy.user.userPrincipalName)

レシピ 5: Conditional Access ブロック分析

Conditional Access でブロックされたサインインの集計。

SigninLogs
| where TimeGenerated > ago(7d)
| where ConditionalAccessStatus == "failure"
| extend BlockedPolicy = tostring(ConditionalAccessPolicies[0].displayName)
| summarize BlockedCount = count()
            by UserPrincipalName, BlockedPolicy, ResultDescription
| order by BlockedCount desc

レシピ 6: Defender for Cloud High Severity アラート

SecurityAlert
| where TimeGenerated > ago(7d)
| where AlertSeverity == "High"
| extend ResourceId = tostring(parse_json(ExtendedProperties).ResourceId)
| summarize HighAlerts = count() by ResourceId, AlertName
| order by HighAlerts desc

レシピ 7: VM 異常 RDP / SSH アクセス

SecurityEvent
| where TimeGenerated > ago(1d)
| where EventID == 4624
| where LogonType in (10, 7)  // RemoteInteractive, Unlock
| summarize LoginCount = count() by Account, IpAddress, Computer
| where LoginCount > 50
| order by LoginCount desc

レシピ 8: Storage Account 異常アクセス

StorageBlobLogs
| where TimeGenerated > ago(1d)
| where StatusCode == 403
| summarize ForbiddenCount = count()
            by CallerIpAddress, AccountName, OperationName
| where ForbiddenCount > 100
| order by ForbiddenCount desc

レシピ 9: 時系列トレンド (1 時間粒度)

SigninLogs
| where TimeGenerated > ago(1d)
| where ResultType != 0
| summarize FailedCount = count() by bin(TimeGenerated, 1h)
| render timechart

レシピ 10: Top 10 攻撃元 IP

SigninLogs
| where TimeGenerated > ago(7d)
| where ResultType != 0
| summarize AttackCount = count(), Users = dcount(UserPrincipalName)
            by IPAddress
| where AttackCount > 100
| order by AttackCount desc
| take 10

MITRE ATT&CK マッピング

Sentinel Analytics Rule は MITRE ATT&CK の Tactics と Techniques をマッピングして登録可能。

Microsoft の公式 GitHub (Azure-Sentinel) で 300+ の MITRE マッピング済みクエリが公開されており、コピペベースで活用可能です。

パフォーマンス最適化

1. 時間範囲を必ず絞る (where TimeGenerated > ago(7d))、これだけで処理量が桁違い
2. where 句は早めに配置 (パイプライン左側で絞る方が後続処理が軽い)
3. project で必要な列だけ選択 (不要列を早めに切る)
4. summarize は最後 (大量データ集計より絞ってから集計)
5. join より union + summarize のほうが高速なケースあり
6. parse は正規表現より文字列演算が速い
7. take / top で結果数を制限
8. materialize() でサブクエリを物理化してリユース

Log Analytics の Query Performance ペインで Time Range・Records Examined を確認しながらチューニング、本番 Analytics Rule では実行時間 5 分以内が目安です。

学習リソース

• Kusto Query Language Documentation: KQL 公式ドキュメント
• Azure-Sentinel GitHub: 300+ の Detection / Hunting Query
• Microsoft Learn『Write your first query with Kusto Query Language』モジュール
• KQL Cheat Sheet (Microsoft 公式 PDF)
• Sentinel Notebooks (Jupyter ベースの高度分析)

関連認定試験

• SC-200 (Security Operations Analyst): KQL が深く問われる本領域の本命認定。
• AZ-104 (Administrator): ドメイン 5 で Azure Monitor + KQL 基礎。
• SC-100 (Cybersecurity Architect Expert): SOC アーキテクチャ設計。
• DP-700 (Fabric Data Engineer): Fabric Real-Time Intelligence (KQL Database) 文脈。
• MS-102 (Microsoft 365 Administrator Expert): ドメイン 3 で Defender XDR + Advanced Hunting。

よくある質問

本記事の技術情報は Microsoft Sentinel Documentation およびKusto Query Language Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure、Microsoft Sentinel、Microsoft Defender、Microsoft Entra は Microsoft group of companies の商標です。MITRE ATT&CK は MITRE Corporation の登録商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。