Introducción a CrowdStrike CQL: tus primeras consultas en Advanced Event Search

Todos los que usamos CrowdStrike en algún momento vamos a tener que usar Advanced Event Search para realizar consultas avanzadas sobre la telemetría del entorno.

Aprender CQL (CrowdStrike Query Language) es como aprender Excel en la vida laboral: quizá no lo sepas usar al inicio, pero sabes que deberías aprenderlo.

En este artículo te comparto algunos consejos básicos para escribir tu primera consulta en CQL y verás que es mucho más sencillo de lo que parece.

0. Básicos

Entiende la interfaz

A primera vista, Advanced Event Search puede parecer confuso, pero en realidad su estructura es bastante sencilla.

Para facilitar la comprensión, en la siguiente imagen se muestra una representación de la estructura básica de la interfaz, identificando las principales secciones que utilizarás al momento de escribir y analizar tus consultas en CQL:

Cada una de estas secciones cumple una función específica: el editor de consultas, el panel de campos disponibles y el área donde se muestran los resultados. Entender cómo interactúan entre sí te ayudará a escribir consultas más claras y eficientes desde el inicio.

Uso del pipe (|)

Este punto es muy importante. El carácter | (pipe) es la forma en la que CQL entiende que una instrucción terminó y que comienza otra.

Cada bloque de tu consulta se conecta mediante pipes.

Saltos de línea

Para escribir un salto de línea dentro del editor de consultas, utiliza:

Alt + Enter

Esto ayuda mucho a mantener tus queries más legibles.

1. Ajusta tu ventana de tiempo

Antes de ejecutar cualquier consulta, debes definir el intervalo de tiempo sobre el cual se hará la búsqueda.

Puedes seleccionar entre varias opciones, algunas son:

• Últimos 5 minutos
• 1 hora
• 1 día
• Rangos de fecha específicos

Para comenzar, cualquier rango es válido, pero recuerda que entre más amplio sea el rango, más resultados obtendrás.

2. Búsquedas de texto libre

Si tu jefe o tu equipo te piden investigar un:

• archivo
• hash
• IP
• hostname
• proceso

y no sabes exactamente por dónde empezar, esta opción es ideal.

Basta con escribir el valor que te dieron y ejecutar la consulta con un Enter. Por ejemplo:

cmd.exe

Esto devolverá todos los eventos donde aparezca ese valor, permitiéndote:

• revisar los logs
• entender el contexto
• identificar patrones o comportamientos sospechosos

3. Revisa los campos

Para aprovechar CQL, es importante entender la estructura de un log.

Puedes visualizar los resultados de esta forma:

• Cada evento es una fila
• Cada campo es una columna

Por ejemplo, un campo puede llamarse nombre, y su valor puede cambiar dependiendo del evento.

Debajo del área donde escribes la query, encontrarás una sección con todos los campos disponibles que trae tu consulta. Mi recomendación es:

• Revisarlos con calma
• Identificar cuáles te interesan
• Usarlos para refinar tus búsquedas

4. Agrupar resultados

cmd.exe | groupBy(nombre)

La función groupby() es una de las más útiles en CQL y se usa en la mayoría de las consultas.

Agrupar te permite:

• Ordenar los resultados de forma lógica
• Ver cuántas veces aparece un valor específico
• Analizar el impacto de los datos a gran escala

Siguiendo el ejemplo, agrupar por nombre te devolverá una tabla indicando cuántas veces aparece cada valor, lo cual es muy útil para análisis rápidos.

5. Ordenar resultados

cmd.exe | groupby(nombre) | sort()

Por defecto, los resultados no siempre se muestran ordenados. Para que tu consulta se vea más limpia y profesional, puedes usar sort().

Esto facilita la lectura y el análisis, especialmente cuando trabajas con grandes volúmenes de datos.

Conclusión

Y listo! Con estos pasos ya tienes tu primera consulta básica en CQL y una base sólida para empezar a explorar la telemetría de CrowdStrike.