Dalonso Security Repo 是一个面向 Microsoft 安全技术的资源集合，来源于 ara.so 的 Security Skills 系列。它汇集了 KQL 查询、威胁狩猎用例、Microsoft Sentinel 工作簿以及用于安全分析与调查流程的 Jupyter Notebook。
用途 该仓库定位为 Microsoft 安全技术相关的知识库，主要服务于威胁狩猎、安全分析和调查工作。其内容包括：真实世界 KQL（Kusto Query Language）查询，用于主动威胁检测；Microsoft Sentinel 自定义可视化与分析面板；用于高级调查与自动化的 Jupyter Notebook；以及可直接用于安全运营的查询与工作流示例。
主要能力与内容组织 仓库按安全工具和用例组织目录，包括：Threat-Hunting（威胁狩猎 KQL 查询）、Sentinel-Workbooks（自定义 Sentinel 工作簿 JSON）、Notebooks（Jupyter 笔记本 .ipynb）、Detection-Rules（分析规则与检测）、Investigation-Queries（临时调查 KQL）。
KQL 查询方面，资料给出标准 Microsoft Sentinel/Log Analytics 语法示例，例如检测可疑 PowerShell 执行、多阶段威胁狩猎模式，以及凭据访问（LSASS 内存访问）、持久化机制（注册表 Run 键）、命令与控制（信标行为）等检测模式。使用方式为在 Microsoft Sentinel 的 Logs 中粘贴查询、调整时间范围与参数后运行并分析结果。
Sentinel 工作簿方面，资料说明可下载仓库中的工作簿 JSON 文件，在 Microsoft Sentinel 的 Workbooks 中通过“Add workbook”“Edit”“Advanced Editor”替换内容，再 Apply 与 Save。文档给出了工作簿 JSON 的结构示例（Notebook/1.0、KqlItem/1.0 等）。
安全分析 Notebook 方面，资料说明需安装 jupyter、msticpy、pandas、azure-monitor-query、azure-identity 等依赖，并给出初始化 MSTICPy、连接 MSSentinel 工作区、执行威胁狩猎查询以及用 matplotlib 分析认证异常的数据分析模式示例代码。
使用方式与配置 资料提供仓库克隆命令：git clone https://github.com/davidalonsod/Dalonso-Security-Repo.git ，随后进入目录。Notebook 依赖安装命令：pip install jupyter msticpy pandas azure-monitor-query azure-identity。认证方面可设置环境变量 AZURE_TENANT_ID、SENTINEL_WORKSPACE_ID、AZURE_CLIENT_ID、AZURE_CLIENT_SECRET，或创建 msticpyconfig.yaml 配置文件，其中包含 AzureSentinel 工作区与 TIProviders（如 VirusTotal）等配置。
适用场景 适用于使用 Microsoft Sentinel 与 Log Analytics 开展威胁狩猎、安全事件调查、检测规则编写、安全可视化面板搭建以及 Notebook 自动化分析的安全运营团队。
限制与注意事项 资料中的查询、检测模式与代码属于示例性质，实际效果依赖数据连接器是否启用、表是否存在以及工作区配置。资料提到查询超时、Notebook 认证问题、查询数据缺失等常见问题，并给出相应排查方向（如提前使用时间过滤、优化列与聚合、改用交互式认证、用 search * | distinct $table 检查可用表）。关于收费、价格、性能指标或部署环境要求，资料未提供明确信息，暂未提供。