[Документация Yandex Cloud](../../index.md) > [Yandex SIEM](../index.md) > [Концепции](index.md) > Запросы

# Запросы

{% note info %}

Функциональность находится на стадии [Preview](../../overview/concepts/launch-stages.md). Чтобы получить доступ, обратитесь в [техническую поддержку](https://kz.center.yandex.cloud/support) или к вашему аккаунт-менеджеру.

{% endnote %}

Для поиска событий в Yandex SIEM используется подмножество языка запросов [KQL (Kusto Query Language)](../kql-reference.md). KQL позволяет фильтровать, агрегировать и анализировать события безопасности за последние 90 дней.

## Синтаксис KQL {#kql-syntax}

KQL-запрос состоит из следующих компонентов:

* **Источник данных** — таблицы событий, например `Events`.
* **Операторы фильтрации** — `where` для отбора событий по условиям.
* **Операторы агрегации** — `summarize` для подсчета и группировки.
* **Операторы сортировки** — `sort` для упорядочивания результатов.

Подробнее о синтаксисе используемого подмножества KQL смотрите [Справочник KQL](../kql-reference.md).

Пример запроса:

```kql
Events
| project event_class, ['time']
| limit 1
```

Этот запрос выбирает события из таблицы `Events`, отображает поля `event_class` и `time`, ограничивает результат одной записью.


## История запросов {#query-history}

Для каждого запроса сохраняется история выполнения. История содержит:

* дату и время запуска;
* текст запроса;
* временной период;
* статус выполнения;
* количество результатов.

Из истории можно:

* повторно запустить запрос с теми же параметрами;
* скопировать текст запроса для редактирования;
* поделиться ссылкой на запрос с коллегами.

## Оптимизация запросов {#optimization}

Для эффективной работы с запросами рекомендуется:

* **Использовать фильтры** — ограничивайте выборку данных условиями `where` для ускорения выполнения.
* **Выбирать оптимальный временной период** — не запрашивайте данные за больший период, чем необходимо.
* **Агрегировать данные** — используйте операторы `summarize` для группировки и подсчета вместо вывода всех событий.
* **Ограничивать результаты** — используйте оператор `limit` для ограничения количества возвращаемых строк.

#### Полезные ссылки {#see-also}

* [Расследования](investigations.md).
* [Работа с запросами](../operations/queries/index.md).
* [Как начать работать с Yandex SIEM](../quickstart.md).
* [Справочник KQL](../kql-reference.md).