Assistant XQL Cortex XDR & XSIAM

Construisez, vérifiez et réutilisez vos requêtes XQL pour Cortex XDR et XSIAM.

Cybersécurité
Analyse Forensique
Références & Portails
Gratuit

Tout reste dans votre navigateur : aucune requête n’est exécutée ni envoyée.

actions rapides: 23
requêtes prêtes: 61
sources de données: 25
stages documentés: 29

Que cherchez-vous ?

Un nom, un login, un poste, une IP, un domaine, un hash ou un fichier : l’assistant reconnaît la saisie et propose les bonnes requêtes.

Trouver un utilisateur

Par nom, prénom, login, UPN ou SID : comptes correspondants, SID, postes et dernière activité.

Utilisateur

Source

Période

Renseignez : Utilisateur.

Recherche nominative : à mener dans le cadre d’un incident ou d’une enquête autorisée, conformément à votre charte informatique et au RGPD.

Toutes les actions

Une question d’enquête, une requête prête. Les valeurs saisies ne sont jamais enregistrées.

Utilisateur

Poste

Web & réseau

Fichiers & programmes

Requêtes de chasse

61 requêtes

Catégories

Technique MITRE ATT&CK

Les bases

Chronologie d’un poste

Tous les événements récents d’un poste, du plus récent au plus ancien : le point de départ de toute investigation.

Agent CortexNiveau : Basiquexdr_data

Paramètres

PériodeNom du poste

Les valeurs saisies sont reprises dans toutes les requêtes et gardées dans ce navigateur.

host-timeline.xql· 6 lignes

config case_sensitive = false timeframe = 7d
| dataset = xdr_data
| filter agent_hostname = "PC-FINANCE-042"
| fields _time, event_type, event_sub_type, actor_effective_username, actor_process_image_name, action_process_image_name, action_process_image_command_line, action_file_path, action_registry_key_name, action_remote_ip, action_remote_port
| sort desc _time
| limit 500

Vérification de la requête remplie

Aucun problème détecté.

Requêtes fournies à titre d’exemple : testez-les sur une période courte avant de les utiliser en règle de détection. Syntaxe de référence : documentation Cortex XQL de Palo Alto Networks.

À propos

Assistant XQL Cortex XDR & XSIAM

L'assistant XQL fait gagner du temps aux analystes SOC sur Cortex XDR et Cortex XSIAM : des actions rapides qui transforment un nom, un poste, une IP ou un hash en requête, une bibliothèque de 61 requêtes de chasse paramétrables (exécution, réseau, persistance, identité, mouvement latéral, cloud, pare-feu), un constructeur visuel sans syntaxe, un guide pour choisir le bon dataset ou preset, la conversion d'une liste d'IOC en requête et un éditeur qui signale les erreurs courantes ligne par ligne, dont les réflexes SPL et KQL.

Ce que fait l’outil

23 actions rapides : un nom, un poste, une IP, un domaine ou un hash donne la bonne requête (historique Internet, connexions, fichiers…)
61 requêtes prêtes, classées par cas d'usage SOC et filtrables par technique MITRE ATT&CK, avec paramètres réutilisés et vérification de la requête remplie
Constructeur visuel : source, période, type d'événement, conditions, colonnes ou agrégation, tri et graphique ; chaque valeur est citée et échappée
Guide « je cherche… → quel dataset » : xdr_data, presets network_story et authentication_story, NGFW, Okta, Entra ID, XDM
IOC → XQL : IPv4, IPv6, domaines, URL, SHA256, MD5 et fichiers extraits d'un texte, même défangés, avec exclusion valeur par valeur
Éditeur avec coloration, mise en forme et analyse ligne par ligne (==, guillemets, syntaxe SPL/KQL, ENUM oublié, colonne disparue après comp…)
Aide-mémoire : stages, fonctions, opérateurs et table d'équivalence SPL / KQL → XQL
Lien partageable, historique des requêtes copiées, « Mes requêtes » avec export et import JSON, copie Markdown pour les tickets

Questions fréquentes

Qu'est-ce que le langage XQL ?

XQL (XDR Query Language) est le langage de requête de Palo Alto Networks pour interroger la télémétrie centralisée dans Cortex XDR et Cortex XSIAM. Une requête enchaîne des stages séparés par « | » : config pour la période, dataset ou preset pour la source, puis filter, alter, comp, sort, limit… Le principe est proche du SPL de Splunk ou du KQL de Microsoft Sentinel.

Quel dataset choisir pour ma recherche ?

xdr_data contient la télémétrie brute des agents (processus, réseau, fichiers, registre, journaux Windows) : filtrez d'abord event_type, par exemple ENUM.PROCESS. Le preset network_story réunit les connexions avec le nom d'hôte résolu, authentication_story les authentifications de toutes les sources, et les datasets *_raw (panw_ngfw_traffic_raw, okta_sso_raw, msft_azure_ad_raw…) les journaux des intégrations. L'onglet Datasets propose un guide « je cherche… » et un exemple pour chaque source.

Comment passer de Splunk (SPL) ou Sentinel (KQL) à XQL ?

La plupart des commandes ont un équivalent direct : where devient filter, stats ou summarize devient comp, eval ou extend devient alter, table ou project devient fields, head ou take devient limit. L'aide-mémoire contient une table d'équivalence complète, et l'éditeur signale les commandes SPL ou KQL restées dans une requête XQL.

Les requêtes fonctionnent-elles telles quelles dans mon tenant ?

Les requêtes sur xdr_data et les presets utilisent les champs documentés par Palo Alto Networks. Pour les datasets tiers (pare-feu, Okta, Office 365, AWS…), les noms de champs dépendent de l'intégration et du parsing : ces requêtes sont signalées et doivent être vérifiées dans l'onglet Schema de votre console. Testez toujours sur une période courte avant d'en faire une règle.

Mes requêtes et mes IOC sont-ils envoyés à ForenShield ?

Non. Génération, analyse et conversion d'IOC se font dans votre navigateur ; aucune requête n'est exécutée et rien n'est transmis. Seuls vos favoris, vos paramètres, « Mes requêtes » et l'historique des requêtes copiées sont mémorisés localement, dans ce navigateur : le bouton « Effacer les données locales » les supprime. Les valeurs saisies dans les actions rapides ne sont jamais enregistrées, et un lien copié depuis l'éditeur contient la requête : ne le partagez que si elle peut l'être.