Cos’è il KQL (Kusto Query Language) e perché è la competenza chiave nella Cybersecurity e nell’Analisi Dati

Perché il KQL è diventato il linguaggio fondamentale per la Cybersecurity e l’Analisi Dati

Nel 2015, chiunque pianificasse una carriera nella sicurezza informatica o nell’analisi dei flussi digitali studiava Python, SQL o Java. Era la scelta logica, quasi obbligata.

Oggi, a distanza di poco più di dieci anni, quello scenario è stato scosso dalle fondamenta. Se si scorrono i requisiti per posizioni critiche come Threat Hunter o Detection Engineer, emerge un nome che ricorre con un’insistenza quasi ossessiva: KQL.

Il Kusto Query Language non è semplicemente l’ennesima sintassi da aggiungere al curriculum per superare un colloquio tecnico. Rappresenta la linea di demarcazione tra chi subisce passivamente la valanga quotidiana di log aziendali e chi riesce a guidarla per prendere decisioni prima che sia troppo tardi.

Eppure, la maggior parte dei percorsi accademici tradizionali non lo menziona nemmeno.

Da amministratore di sistema a investigatore digitale

Per comprendere il valore reale di KQL bisogna osservare la metamorfosi del lavoro nell’era del cloud. Fino a poco tempo fa, un amministratore di sistema gestiva perimetri definiti: server fisici, firewall, applicazioni e reti locali.

Oggi, una grande organizzazione produce milioni di eventi ogni singolo secondo. Ogni login, ogni file modificato, ogni connessione di un dispositivo periferico lascia una traccia digitale. Il problema contemporaneo non è l’archiviazione di questi dati, ma la loro interpretazione in tempo reale.

In questo spazio si colloca il Threat Hunter. Il suo compito non è aspettare che un sistema automatico invii una notifica di pericolo, ma muoversi nell’ombra, cercando attivamente anomalie infinitesimali che anticipano un attacco strutturato. È un lavoro che richiede un approccio più simile a quello di un investigatore forense che di un classico tecnico informatico. E lo strumento principale di questa indagine è proprio KQL.

KQL come framework di pensiero

Limitarsi a definire KQL come un linguaggio di query è corretto, ma riduttivo. KQL è, a tutti gli effetti, un sistema strutturato per ragionare sui dati.

Prendiamo una query elementare, quasi intuitiva:

SigninLogs
| where TimeGenerated >= ago(7d)
| summarize count() by UserPrincipalName
| sort by count_ desc

Anche senza competenze specifiche, il meccanismo sequenziale è evidente: si isolano i log di accesso, si restringe il campo agli ultimi sette giorni, si aggregano i tentativi per utente e si ordinano i risultati dal più alto al più basso.

Questa struttura a pipeline (rappresentata dal simbolo |) obbliga il professionista a procedere per gradi logici consecutivi. È questa linearità che trasforma lo strumento tecnico in una mappa mentale per l’analista.

La progettazione della difesa: il Detection Engineer

Una delle figure più richieste e complesse del mercato attuale è il Detection Engineer. Questa figura non si limita a usare le regole esistenti, ma progetta la logica capace di intercettare le minacce emergenti.

Scenario tipico:

un utente si autentica regolarmente dalla sede di Milano. Nel giro di tre ore, lo stesso account registra accessi da Singapore, New York e Francoforte. Se un analista junior potrebbe notarlo solo a posteriori, un Detection Engineer traduce l’esperienza umana in una query KQL automatizzata in grado di bloccare l’anomalia all’istante. Questa capacità di trasformare l’intuizione investigativa in codice predittivo è ciò che il mercato valuta più a caro prezzo.

NetworkAlerts
| where TimeGenerated >= ago(1d)
| where Severity == "High"
| project AlertTime=TimeGenerated, AlertName, SourceIP
| join kind=inner (
    SigninLogs
    | where TimeGenerated >= ago(1d)
    | where ResultType == 0 // Accessi riusciti
    | project LoginTime=TimeGenerated, UserPrincipalName, IPAddress
) on $left.SourceIP == $right.IPAddress
| where datetime_diff('minute', AlertTime, LoginTime) between (0 .. 30)
| project AlertTime, AlertName, UserPrincipalName, SourceIP

Il vero valore non risiede nella sintassi

I manuali tecnici abbondano di spiegazioni su operatori come where, summarize, project o join. Ma la sintassi è solo lo strato superficiale della competenza. Le aziende non investono su professionisti che ricordano a memoria i comandi, ma su profili capaci di porre le domande corrette alla base dati.

La differenza di approccio è netta:

• Un profilo junior chiede alla macchina: “Quanti accessi falliti ci sono stati oggi?”
• Un profilo avanzato chiede: “Quali comportamenti si discostano in modo statisticamente significativo dalla baseline di questa settimana?”

KQL, in questo senso, agisce come un acceleratore del pensiero analitico.

Risolvere un incidente in pochi minuti: un caso reale

All’interno di un SOC (Security Operations Center) moderno, la gestione del rumore di fondo è una sfida quotidiana. Immaginiamo un picco improvviso e imprevisto di autenticazioni fallite su un server critico. Le opzioni sul tavolo sono diverse: un attacco brute force in corso, un errore sistemico di configurazione o un bug di un’applicazione interna.

Attraverso una query KQL ben mirata, un analista è in grado di isolare la telemetria in pochi minuti, scoprendo che l’intero blocco di traffico anomalo proviene da una singola macchina aggiornata poche ore prima. Nessuna violazione, solo un loop software. La capacità di separare un falso allarme da un disastro informatico in una manciata di minuti evita il blocco ingiustificato dei reparti aziendali, dimostrando il ritorno sull’investimento di una simile competenza.

SigninLogs
| where TimeGenerated >= ago(7d)
| where ResultType != 0 // Isola solo i tentativi di login falliti
| make-series FailedLogins=count() default=0 on TimeGenerated from ago(7d) to now() step 1h by UserPrincipalName

La convergenza dei ruoli ibridi

Il mercato del lavoro premia sempre di più le figure ibride, e KQL si posiziona esattamente all’incrocio di quattro macro-aree:

1. Cybersecurity: Comprensione profonda di vettori di attacco, vulnerabilità e indicatori di compromissione (IoC).
2. Data Science e Analisi Dati: Capacità di gestire aggregazioni, distribuzioni statistiche, serie temporali e rilevamento dei valori anomali (outliers).
3. Cloud Infrastructure: Familiarità con gli ambienti in cui risiedono i dati, in particolare l’ecosistema Microsoft (Azure Monitor, Microsoft Sentinel, Defender XDR).
4. Logica Investigativa: Attitudine a formulare ipotesi d’indagine e a validarle attraverso i dati.

Chi riesce a sintetizzare questi quattro aspetti sviluppa un profilo professionale difficilmente sostituibile.

L’ecosistema delle competenze KQL

Per strutturare una crescita professionale in questo campo, è utile mappare la competenza su quattro livelli progressivi:

1. Sintassi di base: Apprendimento degli operatori fondamentali e della struttura delle pipeline.
2. Modellazione della telemetria: Comprensione dell’architettura dei dati, delle relazioni tra tabelle diverse e della provenienza dei log.
3. Investigazione avanzata: Sviluppo della capacità di formulare query complesse per correlare eventi distanti nel tempo o nello spazio logico.
4. Automazione e Intelligence: Trasformazione delle query in regole di detection continue e processi di risposta automatizzati.

Perché si tratta di una competenza “anti-fragile” di fronte all’IA

Una delle obiezioni più frequenti riguarda l’avvento dei modelli linguistici aziendali: se un’intelligenza artificiale può scrivere una query KQL partendo da un testo semplice, ha ancora senso studiare questo linguaggio?

La risposta risiede nella natura stessa del lavoro analitico. L’IA è eccellente nel tradurre una richiesta in codice, ma non possiede il contesto strategico per decidere quale domanda sia rilevante porre in un determinato momento. Possedere la padronanza concettuale del KQL permette di validare i risultati generati dagli assistenti digitali, scartare le allucinazioni del software e interpretare l’output in modo critico. L’evoluzione tecnologica non cancella il professionista, ma ne sposta il baricentro verso un’attività a più alto valore cognitivo.

I passi per iniziare

Chi sceglie di orientarsi verso questo settore può seguire un percorso lineare:

1. Familiarizzare con i concetti fondamentali di telemetria e gestione dei log strutturati.
2. Sperimentare gli operatori di base di KQL utilizzando gli ambienti di test gratuiti messi a disposizione da Microsoft.
3. Analizzare i casi di studio reali legati agli incidenti di sicurezza e alle violazioni di dati.
4. Applicare le query a scenari pratici di caccia alle minacce (threat hunting).
5. Integrare l’uso degli strumenti di automazione e degli assistenti di intelligenza artificiale per velocizzare il flusso di lavoro.

Sviluppare questa combinazione di competenze significa posizionarsi in una delle traiettorie più stabili e remunerative dell’attuale mercato tecnologico.