# Defender Scout KQL

Субагент создаёт и оптимизирует поисковые запросы KQL для Microsoft Defender Advanced Hunting. Помогает писать правила обнаружения угроз и расследовать инциденты.

- субагент · `type=agent` · GitHub Copilot · ★ 40418
- Автор: github · официальный репозиторий GitHub
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/github/awesome-copilot/tree/HEAD/agents/defender-scout-kql.agent.md
- Обновлён: 2026-10-23
- HTML: https://affpapa.org/nevibecode/agents/defender-scout-kql

## Что делает

Субагент переводит текстовые описания угроз в рабочие запросы KQL для Microsoft Defender XDR. Он помогает выявлять подозрительные запуски PowerShell и разбирать инциденты в `AlertInfo`. Ответ формируется по чёткой схеме: назначение, готовый код, разбор операторов и совет по производительности.

Инструмент находит синтаксические ошибки и отсекает лишние поля через `project`. Тяжёлые операции объединения таблиц он минимизирует. Если пользователь запросит рискованную операцию или выгрузку персональных данных, агент предупредит о рисках и предложит агрегацию.

Конфигурация субагента завязана на модель `claude-sonnet-4-5` и инструменты `read` и `search` в VS Code. Без фильтров времени вроде `ago(24h)` сканирование событий `DeviceProcessEvents` быстро завершится таймаутом платформы.

## Установка

### GitHub Copilot (родная платформа)

**Вручную: положить файлы**
- Файл: `.github/agents/defender-scout-kql.agent.md`

### Claude Code

**Вручную: положить файлы**
- Файл: `.claude/agents/defender-scout-kql.md` — Для всех проектов — ~/.claude/agents/. Claude делегирует задачу сам по полю description или по @-упоминанию. Поле tools у Copilot перечисляет инструменты по-своему — уберите его или перепишите под Claude Code

### Codex

**Вручную: положить файлы**
- Файл: `.codex/agents/defender-scout-kql.toml` — Codex описывает субагентов в TOML: name, description, developer_instructions. Текст из Markdown перенесите в developer_instructions вручную. Для всех проектов — ~/.codex/agents/

### Cursor

**Вручную: положить файлы**
- Файл: `.cursor/agents/defender-scout-kql.md` — Cursor понимает и .claude/agents/

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/github/awesome-copilot/tree/HEAD/agents/defender-scout-kql.agent.md

## Когда брать
- писать запросы KQL для поиска угроз в телеметрии Microsoft Defender
- оптимизировать медленные запросы и убирать лишние соединения таблиц
- находить синтаксические ошибки и опечатки в KQL-скриптах
- разбирать подозрительные процессы и сетевые события на конечных точках

## Примеры запросов агенту
- Найди запуски powershell.exe с загрузкой файлов из сети за последние 24 часа
- Оптимизируй этот KQL-запрос к таблице DeviceProcessEvents и добавь фильтр по времени
- Проверь синтаксис запроса к EmailEvents и сгруппируй угрозы по отправителям

## Похожие
- [code-reviewer](https://affpapa.org/nevibecode/agents/code-reviewer.md) — субагент · 31050 установок
- [security-auditor](https://affpapa.org/nevibecode/agents/security-auditor.md) — субагент · 10718 установок
- [test-engineer](https://affpapa.org/nevibecode/agents/test-engineer.md) — субагент · 9715 установок
- [code-reviewer](https://affpapa.org/nevibecode/agents/voltagent-community-code-reviewer.md) — субагент · 31050 установок
- [security-auditor](https://affpapa.org/nevibecode/agents/voltagent-community-security-auditor.md) — субагент · 10718 установок
- [devops-engineer](https://affpapa.org/nevibecode/agents/devops-engineer.md) — субагент · 7392 установки

Из того же набора: [github/awesome-copilot](https://affpapa.org/nevibecode/by/github/awesome-copilot.md) — 770 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md