Qu’est-ce que KQL et pourquoi devient-il incontournable ?

Kusto Query Language (KQL) est devenu le langage commun de l’écosystème de sécurité Microsoft. Présent dans Defender XDR, Sentinel, Entra ID et Log Analytics, il permet à n’importe quel administrateur M365 de passer d’une posture passive à une supervision active de son tenant. Cet article explique pourquoi KQL n’est plus réservé aux analystes SOC, et comment se l’approprier.

Pourquoi ce sujet est-il devenu urgent en 2026 ?

Les tenants Microsoft 365 produisent des millions d’événements chaque jour : connexions, partages, alertes DLP, consentements OAuth. Les interfaces graphiques de Defender offrent une vision agrégée, mais montrent vite leurs limites dès qu’il s’agit de croiser plusieurs sources ou de rechercher un signal précis.

Trois facteurs rendent ce sujet urgent en 2026 :

NIS2 et DORA imposent des capacités de détection documentées.
Copilot for Microsoft 365 amplifie les risques d’oversharing.
Security Copilot traduit le langage naturel en KQL, mais encore faut-il savoir lire les résultats.

Comment fonctionne KQL ?

KQL repose sur un principe simple : un pipeline où chaque opérateur affine le résultat précédent, séparé par le symbole |.

Les 5 opérateurs essentiels :

Opérateur	Rôle
`where`	Filtrer les lignes
`project`	Sélectionner les colonnes
`summarize`	Agréger les données
`join`	Croiser deux tables
`top`	Trier et limiter

Comment KQL se compare-t-il aux autres approches ?

Approche	Force	Limite
Portail Defender (UI)	Simple, visuel	Peu de profondeur
Export Excel	Familier	Données figées
PowerShell / Graph	Automatisation	Pas d’analytique
KQL / Advanced Hunting	Corrélation multi-sources	Apprentissage initial
SIEM tiers	Très puissant	Coût élevé

À quoi ressemble une requête KQL concrète ?

Exemple concret : une requête qui détecte les connexions réussies depuis un pays inhabituel sur les 7 derniers jours.

EntraIdSignInEvents
| where Timestamp > ago(7d)
| where Country !in ("FR", "BE", "LU", "CH")
| where ErrorCode == 0
| summarize Tentatives = count() by AccountUpn, Country
| order by Tentatives desc

Lecture en 3 lignes : on prend la table des connexions, on filtre sur la semaine passée, on exclut les pays habituels, on ne garde que les connexions réussies, puis on agrège par compte et pays.

Comment commencer à utiliser KQL ?

Feuille de route pragmatique :

Étape	Action
1	Vérifier la licence (E5 ou E3 + E5 Security add-on)
2	Accéder à Advanced Hunting sur `security.microsoft.com`
3	Maîtriser les 5 opérateurs de base
4	Sauvegarder ses requêtes dans le portail

Pourquoi KQL devient-il une compétence de base ?

KQL transforme silencieusement le métier d’administrateur Microsoft 365. Là où il fallait jadis un analyste SOC pour investiguer un incident, quelques requêtes bien construites suffisent désormais à reprendre le contrôle de son tenant.

À l’heure où Copilot, NIS2 et DORA bousculent les pratiques, savoir interroger ses propres données n’est plus un luxe : c’est une compétence de base. Et la bonne nouvelle, c’est qu’elle s’acquiert en quelques heures.