CertifyDeck¿Qué es Log Analytics y KQL?
Área de trabajo donde Azure Monitor, Defender y Sentinel almacenan registros, y el lenguaje de consulta Kusto con el que se analizan.
Qué es
Un área de trabajo de Log Analytics es la base de datos de registros de Azure Monitor: tablas como Heartbeat, Perf, AzureActivity, SigninLogs o SecurityEvent, con una retención configurable por tabla. Se consulta con KQL (Kusto Query Language), un lenguaje de canalización donde cada operador transforma el resultado del anterior: where para filtrar, summarize para agrupar, project para elegir columnas, join para cruzar tablas y render para visualizar. Las mismas consultas sirven para crear alertas y libros (workbooks).
Cómo aparece en el examen
En el examen aparece en dos formas: leer una consulta y decir qué devuelve (por ejemplo, contar inicios de sesión fallidos por usuario en las últimas 24 horas con SigninLogs | where ResultType != 0 | summarize count() by UserPrincipalName) o completar el operador que falta. En SC-300 y MS-102 se usa para investigar identidad y amenazas; en AZ-104, para rendimiento y disponibilidad de máquinas virtuales.
Lo que más se falla
Lo que más se falla: KQL distingue mayúsculas en los nombres de tabla y columna; el operador de comparación == es sensible a mayúsculas mientras que =~ no lo es; el intervalo de tiempo del portal se aplica antes que cualquier filtro de la consulta; y enviar los registros de inicio de sesión de Entra a Log Analytics requiere P1 o P2 y una configuración de diagnóstico explícita.
En qué certificaciones aparece
Términos relacionados
Practica el concepto con preguntas de examen
Cada pregunta de CertifyDeck explica por qué la respuesta correcta lo es y por qué las demás no. Empieza gratis, sin registro.
Ver simulador de AZ-104 →