# azure-kusto-irql

Скилл собирает конвейеры запросов IRQL для расследования инцидентов и поиска угроз в Kusto. Помогает строить цепочки из селекторов, экстракторов и обогатителей без запоминания схем таблиц.

- скилл · `type=skill` · Claude Code, GitHub Copilot · ★ 3149
- Автор: Microsoft
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/microsoft/skills/tree/HEAD/.github/plugins/azure-kusto-graph-skills/skills/azure-kusto-irql/SKILL.md
- Обновлён: 2026-10-23
- HTML: https://affpapa.org/nevibecode/skills/azure-kusto-irql

## Что делает

Скилл помогает формулировать запросы к базам Azure Data Explorer (Kusto) на диалекте IRQL. Вместо прямого обращения к разнородным таблицам безопасности он использует цепочки готовых функций: селекторы `Get_*` для выборки событий входа или сетевого трафика, экстракторы `Extract_*` для извлечения доменов и обогатители `Enrich_*` для контекстных связок.

Конвейер строится по строгому порядку. Селектор передаёт данные экстрактору, затем применяется фильтрация через `where`, следом вызывается обогащение через оператор `invoke` и выполняется итоговая агрегация. Для обращений к внешним сервисам вроде `Enrich_Sha256_VirusTotal` или `Get_CISA_KEV` в кластере Kusto понадобятся настроенная callout policy и API-ключ.

Скилл не разворачивает функции IRQL в целевой базе. Перед генерацией конвейера он запускает проверку через команду `.show functions`. Если нужных функций в базе нет, скилл работать не станет, и запросы придётся составлять на чистом KQL через навык `azure-kusto`.

## Требования
- Работает с: Azure

## Установка

### Claude Code (родная платформа)

1. **Через маркетплейс плагинов**
В чате агента (не в терминале):
```text
/plugin marketplace add microsoft/skills
```
В чате агента (не в терминале):
```text
/plugin install azure-kusto-graph-skills@skills
```
Команда ставит плагин azure-kusto-graph-skills целиком, со всеми его скиллами

2. **Через Skills CLI (Vercel)**
```bash
npx skills add microsoft/skills --skill azure-kusto-irql -a claude-code
```

3. **Вручную: положить файлы**
- Файл: `~/.claude/skills/azure-kusto-irql/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/azure-kusto-irql/

### Codex

**Вручную: положить файлы**
- Файл: `.agents/skills/azure-kusto-irql/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

**Вручную: положить файлы**
- Файл: `.cursor/skills/azure-kusto-irql/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install microsoft/skills azure-kusto-irql
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/azure-kusto-irql/SKILL.md`

### Gemini CLI

**Командой платформы**
```bash
gemini skills install https://github.com/microsoft/skills --path .github/plugins/azure-kusto-graph-skills/skills/azure-kusto-irql
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/azure-kusto-irql/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/microsoft/skills/tree/HEAD/.github/plugins/azure-kusto-graph-skills/skills/azure-kusto-irql/SKILL.md

## Когда брать
- составить конвейер поиска угроз в Kusto на диалекте IRQL
- сопоставить события аутентификации и сетевую активность с данными сотрудников
- извлечь доменные имена из URL или почтовых адресов
- дополнить хэши файлов отчётами VirusTotal через внешние вызовы

## Примеры запросов агенту
- Собери IRQL-конвейер для поиска неудачных попыток входа и свяжи их с профилями сотрудников
- Напиши IRQL-запрос для проверки подозрительных сетевых подключений через Enrich_Ip_Employee
- Построй конвейер с Get_Email, извлеки домен отправителя и отфильтруй результаты

## Похожие
- [git-guardrails-claude-code](https://affpapa.org/nevibecode/skills/git-guardrails-claude-code.md) — скилл · 499069 установок
- [ponytail-review](https://affpapa.org/nevibecode/skills/ponytail-review.md) — скилл · 57000 установок
- [ponytail-audit](https://affpapa.org/nevibecode/skills/ponytail-audit.md) — скилл · 45400 установок
- [security-audit](https://affpapa.org/nevibecode/skills/cloudflare-security-audit.md) — скилл · 54800 установок
- [security-and-hardening](https://affpapa.org/nevibecode/skills/security-and-hardening.md) — скилл · 70200 установок
- [supabase](https://affpapa.org/nevibecode/skills/supabase.md) — скилл · 8 установок

Из того же набора: [microsoft/skills](https://affpapa.org/nevibecode/by/microsoft/skills.md) — 232 карточки

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md