## उपयोग

### मूल बातें

Azure से कनेक्ट करके शुरू करें और सुनिश्चित करें कि आपने सही खाता और सब्सक्रिप्शन चुना है:```powershell
Connect-AzAccount

<img width="860" height="842" alt="{F4FFA929-B24F-490C-BD3D-F75E214BCD93}" src="https://assets.kitploit.com/production/public/readmes/13110/ff9d1da85043d02a216df72913ecf63520310b8d820b1bd1278b8e4aca718494.png" />

अन्य आउटपुट में गहराई से जाने के लिए एक मेनू भी है:

<img width="395" height="223" alt="{83CE9E6E-F373-49CD-BE05-182DB69F36BE}" src="https://assets.kitploit.com/production/public/readmes/13110/0606a575b10640bd13ebb87b930f74b2438167b5578cb843b412b4fcf273fc26.png" />


### कीवर्ड गैप + Defender XDR

क्या आप जानना चाहते हैं कि क्या आप विशिष्ट विक्रेताओं से संबंधित टेबल मिस कर रहे हैं? कुछ कीवर्ड डालें। यदि आप XDR विश्लेषण भी चाहते हैं तो `-IncludeDefenderXDR` जोड़ें।```powershell
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -Keywords 'CrowdStrike','AWS','Okta' -IncludeDefenderXDR

### एक रिपोर्ट निर्यात करें```powershell
# JSON
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -Output json -OutputPath ./report.json

# Markdown
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -Output markdown -OutputPath ./report.md

# Static HTML (self-contained, no JS, works offline)
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -Output html -OutputPath ./report.html

# Auto-generate timestamped filename by pointing at a directory
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -Output html -OutputPath ./reports/

### गैर-इंटरैक्टिव / CI मोड

इंटरैक्टिव TUI को छोड़ें और सीधे फ़ाइल में निर्यात करें, जो पाइपलाइनों या निर्धारित रनों के लिए उपयोगी है:```powershell
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -NonInteractive -Output json -OutputPath ./reports/

### लॉग ट्यूनिंग और स्प्लिट KQL

इंटरैक्टिव TUI में एक **लॉग ट्यूनिंग / ट्रांसफॉर्म्स** मेनू शामिल है, जिसमें लाइव ट्यूनिंग सुझाव (आपके तैनात नियमों और हंटिंग क्वेरी से फ़ील्ड उपयोग), नॉलेज-बेस स्प्लिट KQL, और प्रति-टेबल मूल्यांकनकर्ता शामिल हैं। हर KQL ब्लॉक केवल कंडीशन-आधारित है और सीधे Sentinel स्प्लिट रूल एडिटर में पेस्ट हो जाता है, जिसमें स्रोत एट्रिब्यूशन (नॉलेज बेस, रूल विश्लेषण, या संयुक्त) शामिल होता है।

### कस्टम मूल्य निर्धारण

डिफ़ॉल्ट मूल्य वेस्ट यूरोप सिंपलिफाइड PAYG USD में हैं: 5.59 $/GB एनालिटिक्स, 1.15 $/GB बेसिक, 0.20 $/GB डेटा लेक (0.07 इन्जेशन + 0.13 प्रोसेसिंग)। प्रत्येक टेबल का मूल्य `Usage` टेबल में देखी गई योजना के अनुसार निर्धारित होता है, और मुफ़्त स्थिति `Usage.IsBillable` से आती है। वॉल्यूम बिलिंग GB (1000 MB) का उपयोग करते हैं। यदि आपका कमिटमेंट टियर अलग है:```powershell
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' -PricePerGB 4.61 -BasicPricePerGB 1.15 -LakePricePerGB 0.20

- **वॉल्यूम प्रतिशतक (35%)**: एक नियम अन्य नियमों की तुलना में कितनी घटनाएँ उत्पन्न करता है।
- **AutoClose प्रतिशतक (40%)**: कितनी बार घटनाएँ स्वचालन नियमों द्वारा स्वतः बंद होती हैं (सबसे अधिक भार क्योंकि स्वचालित समापन कम-मूल्य वाले अलर्ट का सबसे मजबूत संकेत है)।
- **FalsePositive प्रतिशतक (25%)**: कितनी बार विश्लेषक परिणाम को गलत सकारात्मक के रूप में वर्गीकृत करते हैं।

**स्कोर सीमाएँ**:

| स्कोर | लेबल | अर्थ |
|---|---|---|
| ≥ 70 | शोरगुल वाला | नियम को संभवतः ट्यूनिंग या अक्षम करने की आवश्यकता है |
| ≥ 50 | निगरानी | नियम शोरगुल के शुरुआती संकेत दिखाता है |
| < 50 | स्वस्थ | नियम सामान्य सीमा के भीतर है |
| N/A | - | नियम से कोई संबंधित घटना नहीं है, या 3 से कम नियमों में घटनाएँ हैं इसलिए रैंक करने के लिए कुछ नहीं है |

घटनाओं को विश्लेषणात्मक नियम आईडी द्वारा बकेट किया जाता है (नियम नाम, फिर शीर्षक पर वापस आते हुए), इसलिए एक ही प्रदर्शन नाम साझा करने वाले दो नियमों को अलग-अलग स्कोर किया जाता है।

स्कोर ≥ 70 और कम से कम 5 घटनाओं वाले नियम स्वचालित रूप से **उच्च-प्राथमिकता अनुशंसाओं** के रूप में अनुशंसाएँ दृश्य में सामने आते हैं।

### 5. इंटरैक्टिव डैशबोर्ड

मुख्य मेनू ये दृश्य प्रदान करता है:

- **डैशबोर्ड**: अवलोकन आँकड़े, शीर्ष 10 सबसे महंगी तालिकाएँ (अप्रचलित और विरासत स्रोत एक बैज रखते हैं), कवरेज बार, प्रतिधारण अनुपालन सारांश, सहसंबंध बहिष्करण कॉलआउट
- **अनुशंसाएँ देखें**: अनुमानित मासिक बचत के साथ प्राथमिकता वाली क्रियाएँ, 10 से अधिक होने पर पूरी सूची दिखाने के लिए विस्तार योग्य
- **पहचान मूल्यांकन देखें**: लागत-मूल्य मैट्रिक्स सारांश, प्रति-तालिका नियम और शिकार क्वेरी कवरेज, प्राथमिक/द्वितीयक ड्रिल-डाउन, सहसंबंध-बहिष्कृत नियम सूची
- **पहचान विश्लेषक देखें**: समापन गुणवत्ता संकेतकों के साथ प्रतिशतक-आधारित शोरगुल नियम रैंकिंग (जब आपने `-IncludeDetectionAnalyzer` का उपयोग किया), खोज योग्य नियम ब्राउज़र
- **SOC अनुकूलन देखें**: ड्रिल-डाउन के साथ Microsoft के स्वयं के सुधार सुझाव
- **प्रतिधारण मूल्यांकन देखें**: न्यूनतम अनुशंसित से नीचे की तालिकाएँ वर्तमान बनाम अनुशंसित प्रतिधारण, योजना प्रकार और कमी के साथ, साथ ही XDR सलाहकार पंक्तियाँ
- **डेटा ट्रांसफ़ॉर्म देखें**: ट्रांसफ़ॉर्म प्रकार वर्गीकरण और प्रति तालिका पूर्ण KQL के साथ DCR ट्रांसफ़ॉर्म इन्वेंट्री
- **लॉग ट्यूनिंग / ट्रांसफ़ॉर्म**: लाइव ट्यूनिंग सुझाव, ज्ञान-आधार विभाजित KQL, और एकल-तालिका प्रतिधारण/प्रकार परिवर्तन के साथ प्रति-तालिका मूल्यांकनकर्ता
- **सभी तालिकाएँ देखें**: वर्गीकरण, योजनाएँ, लागत, नियम, प्रतिधारण (रंग-कोडित) और मूल्यांकन के साथ पूरी सूची; विवरण पैनल के लिए एक तालिका चुनें (कवरेज स्रोत, योजना समर्थन, प्रतिधारण, स्थिति, इसकी अनुशंसाएँ)
- **तालिका प्रतिधारण और प्रकार प्रबंधित करें**: पूर्वावलोकन और लागू करने के साथ बल्क प्रतिधारण और योजना विज़ार्ड
- **शब्दकोश**: उपकरण द्वारा उपयोग किया जाने वाला हर शब्द (वर्गीकरण, लागत और पहचान स्तर, मूल्यांकन, कवरेज स्रोत, 13 अनुशंसा प्रकार, पहचान विश्लेषक मेट्रिक्स और स्कोर लेबल, तालिका योजनाएँ, जीवनचक्र स्थिति, XDR स्थितियाँ, ट्रांसफ़ॉर्म प्रकार) इस README के समान परिभाषाओं के साथ, `Data/dictionary.json` से परोसा गया
- **रिपोर्ट निर्यात करें**: एक प्रारूप चुनें, फिर एक पथ (टाइमस्टैम्प वाली फ़ाइल के लिए निर्देशिका, या एक फ़ाइल नाम; Enter वर्तमान निर्देशिका रखता है) और मेनू से सीधे JSON, Markdown या HTML लिखें
- **XDR विश्लेषण** डैशबोर्ड पर दिखाई देता है जब आपने `-IncludeDefenderXDR` का उपयोग किया

---

## वर्गीकरण डेटाबेस

`Data/log-classifications.json` पर स्थित। **481 प्रविष्टियाँ**, **243 कनेक्टर**, **22 श्रेणियाँ**।

### प्रत्येक प्रविष्टि में क्या है

| फ़ील्ड | इसमें क्या होता है |
|---|---|
| `tableName` | लॉग एनालिटिक्स तालिका नाम (`SecurityEvent`, `SigninLogs`, आदि) |
| `connector` | कौन सा डेटा कनेक्टर इस तालिका का उत्पादन करता है |
| `classification` | `primary` (सुरक्षा मूल्य) या `secondary` (सहायक टेलीमेट्री) |
| `category` | सुरक्षा श्रेणी: पहचान और पहुँच, नेटवर्क सुरक्षा, आदि। |
| `description` | तालिका में क्या है इसका सरल-अंग्रेज़ी सारांश |
| `keywords` | कीवर्ड अंतर विश्लेषण मिलान के लिए शब्द |
| `mitreSources` | MITRE ATT&CK डेटा स्रोत मैपिंग |
| `recommendedTier` | `analytics` (हॉट टियर) या `datalake` (सहायक उम्मीदवार) |
| `recommendedRetentionDays` | दिनों में न्यूनतम अनुशंसित कुल प्रतिधारण (नियामक मार्गदर्शन) |
| `isFree` | क्या Microsoft इसे मुफ्त में इन्जेस्ट करता है (रनटाइम पहले `Usage.IsBillable` का उपयोग करता है) |
| `status` | वैकल्पिक। `deprecated` (कनेक्टर सेवानिवृत्त या इन्जेस्ट बंद) या `legacy` (दस्तावेजित उत्तराधिकारी के साथ पुराना संग्रह पथ) |
| `replacedBy` | वैकल्पिक। माइग्रेट करने के लिए तालिका नाम; जब भी `status` सेट होता है तब मौजूद (खाली हो सकता है) |
| `xdrStreamable` | वैकल्पिक, केवल Defender तालिकाएँ। `true` उन 21 तालिकाओं के लिए जिन्हें Defender XDR कनेक्टर स्ट्रीम करता है; `false` केवल-पोर्टल और TVM तालिकाओं के लिए |
| `platform` | वैकल्पिक। `true` उन तालिकाओं के लिए जिन्हें Sentinel स्वयं उपभोग करता है (`SecurityIncident`, `Usage`, `Watchlist`, ...) जिन्हें कभी विश्लेषण नियमों की आवश्यकता नहीं होती |

`status` वाली तालिकाएँ TUI और रिपोर्टों में एक बैज दिखाती हैं, और जो भी अभी भी इन्जेस्ट करती हैं वे प्रतिस्थापन का नाम देते हुए एक `DeprecatedSource` अनुशंसा उठाती हैं। `xdrStreamable: false` वाली तालिकाओं को XDR चेकर द्वारा कभी भी XDR स्ट्रीमिंग उम्मीदवार के रूप में नहीं माना जाता।

### प्राथमिक बनाम द्वितीयक सुरक्षा डेटा

**प्राथमिक** (278 प्रविष्टियाँ): वे तालिकाएँ जिन पर आप वास्तव में पहचान बना रहे हैं। साइन-इन लॉग, सुरक्षा अलर्ट, खतरा खुफिया, ऑडिट ट्रेल्स, भेद्यता निष्कर्ष, फ़ायरवॉल हिट, EDR टेलीमेट्री।

**द्वितीयक** (203 प्रविष्टियाँ): सहायक सामग्री। प्रदर्शन मेट्रिक्स, बुनियादी ढाँचा निदान, नेटवर्क प्रवाह मात्राएँ, इन्वेंट्री स्नैपशॉट, कॉन्फ़िगरेशन बेसलाइन, स्वास्थ्य जाँच।

### एक नज़र में श्रेणियाँ

| श्रेणी | गिनती | उदाहरण |
|---|---|---|
| पहचान और पहुँच | 51 | `SigninLogs`, `MicrosoftServicePrincipalSignInLogs`, `OktaSSO` |
| नेटवर्क सुरक्षा | 49 | `AZFWNetworkRule`, `NSPAccessLogs`, `DarktraceModelAlerts_CL` |
| क्लाउड नियंत्रण तल | 37 | `AzureActivity`, `AZKVAuditLogs`, `GoogleWorkspaceReports` |
| नेटवर्क प्रवाह | 36 | `NTANetAnalytics`, `CommonSecurityLog`, `AZFWFatFlow` |
| एंडपॉइंट पहचान | 33 | `DeviceProcessEvents`, `CrowdStrikeAuditEvents`, `SentinelOneAlertsV2_CL` |
| एप्लिकेशन लॉग | 32 | `AppServiceHTTPLogs`, `AppServiceAuditLogs`, `DynatraceAttacksV2_CL` |
| ईमेल सुरक्षा | 29 | `EmailEvents`, `CampaignInfo`, `Ttp_Url_CL` |
| सुरक्षा अलर्ट | 29 | `SecurityAlert`, `SentinelBehaviorInfo`, `DisruptionAndResponseEvents` |
| भेद्यता प्रबंधन | 23 | `DeviceTvmSoftwareVulnerabilities`, `Rapid7InsightVMCloudVulnerabilities` |
| क्लाउड सुरक्षा | 20 | `EnrichedMicrosoft365AuditLogs`, `OAuthAppInfo`, `PowerAppsActivity` |
| एंडपॉइंट टेलीमेट्री | 18 | `DeviceInfo`, `Windows365NetworkLogs`, `SentinelOneAgents_CL` |
| मुद्रा प्रबंधन | 17 | `ExposureGraphNodes`, `SecurityNestedRecommendation`, `ZTSMetadata` |
| डेटा सुरक्षा | 16 | `PurviewDataSensitivityLogs`, `DataSecurityEvents`, `PowerPlatformDlpActivity` |
| डेटा प्लेटफ़ॉर्म | 16 | `SQLSecurityAuditEvents`, `CDBControlPlaneRequests`, `SnowflakeLogin_CL` |
| प्लेटफ़ॉर्म स्वास्थ्य | 14 | `SentinelHealth`, `Usage`, `SecurityCaseEvent` |
| कंटेनर और K8s | 13 | `AKSAudit`, `CloudProcessEvents`, `GKEAudit` |
| बुनियादी ढाँचा निदान | 13 | `AzureMetrics`, `AGWPerformanceLogs`, `ContainerAppSystemLogs` |
| खतरा खुफिया | 10 | `ThreatIntelIndicators`, `ThreatIntelObjects`, `CybleVisionAlerts_CL` |
| कॉन्फ़िगरेशन प्रबंधन | 8 | `ConfigurationData`, `AVNMRuleCollectionChange` |
| SAP सुरक्षा | 7 | `ABAPAuditLog`, `SAPBTPAuditLog_CL`, `Onapsis_Defend_CL` |
| स्टोरेज पहुँच | 6 | `StorageBlobLogs`, `CloudStorageAggregatedEvents`, `AWSS3ServerAccess` |
| IoT/OT सुरक्षा | 4 | `RadiflowEvent`, `DragosAlerts_CL`, `Phosphorus_CL` |

### तालिका योजना समर्थन

`Data/basic-plan-tables.json` और `Data/auxiliary-plan-tables.json` उन अंतर्निहित तालिकाओं को सूचीबद्ध करते हैं जिन्हें [Azure Monitor तालिका सुविधा मैट्रिक्स](https://learn.microsoft.com/en-us/azure/azure-monitor/reference/tables-features) बेसिक और सहायक (डेटा लेक) योजनाओं का समर्थन करने के रूप में चिह्नित करता है। प्रतिधारण विज़ार्ड योजना स्विच को मान्य करने के लिए बेसिक सूची का उपयोग करता है, और `DataLake` अनुशंसा केवल उन तालिकाओं के लिए लेक टियर का प्रस्ताव करती है जो इसका समर्थन करती हैं, जहाँ यह सबसे कम समर्थित टियर है वहाँ बेसिक योजना सुझाव पर वापस आते हुए। DCR-आधारित कस्टम तालिकाएँ दोनों योजनाओं का समर्थन करती हैं; क्लासिक कस्टम तालिकाएँ किसी का भी समर्थन नहीं करतीं। दोनों फ़ाइलें प्रत्येक रिलीज़ के लिए उस मैट्रिक्स से पुनर्जीवित की जाती हैं।

### कस्टम वर्गीकरण

आप अपनी स्वयं की वर्गीकरण फ़ाइल प्रदान कर सकते हैं ताकि अंतर्निहित डेटाबेस में नहीं होने वाली तालिकाओं के लिए प्रविष्टियाँ **जोड़ी** जा सकें, या जब डिफ़ॉल्ट आपके वातावरण से मेल नहीं खाते तो मौजूदा प्रविष्टियों को **ओवरराइड** किया जा सके। जब समान `tableName` दोनों में दिखाई देता है तो कस्टम प्रविष्टियाँ अंतर्निहित प्रविष्टियों पर प्राथमिकता लेती हैं।```powershell
Invoke-LogHorizon -SubscriptionId '...' -ResourceGroup 'rg' -WorkspaceName 'ws' `
    -CustomClassificationPath './my-classifications.json'

See `Data/custom-classifications-example.json` एक तैयार-उपयोग टेम्पलेट के लिए।

### वर्गीकरण कैसे बनाए गए

प्राथमिक/द्वितीयक ग्रेडिंग आंशिक रूप से लेखक द्वारा की गई थी और फिर Microsoft के डेटा कनेक्टर और टेबल परिभाषाओं को मानव ग्रेडिंग बेसलाइन के साथ AI में फीड करके, Microsoft की सर्वोत्तम प्रथाओं और उद्योग मानकों को वर्गीकरण मानदंड के रूप में उपयोग करते हुए की गई थी। यदि आपके वातावरण के लिए कुछ गलत लगता है, तो टूल पर अपने स्वयं के संदर्भ पर भरोसा करें - AI गलतियाँ कर सकता है, और संदर्भ ही सर्वोपरि है।

वर्गीकरण मानदंड निम्नलिखित स्रोतों से लिए गए थे:

**ACSC (ऑस्ट्रेलियाई सिग्नल्स निदेशालय, ऑस्ट्रेलियाई साइबर सुरक्षा केंद्र)**
- [ACSC: इवेंट लॉगिंग और खतरे का पता लगाने के लिए सर्वोत्तम प्रथाएँ (अगस्त 2024)](https://www.cyber.gov.au/sites/default/files/2024-08/best-practices-for-event-logging-and-threat-detection.pdf)
- [ACSC: SIEM अंतर्ग्रहण के लिए प्राथमिकता लॉग - व्यवसायी मार्गदर्शन (मई 2025)](https://www.cyber.gov.au/business-government/detecting-responding-to-threats/event-logging/implementing-siem-soar-platforms/priority-logs-for-siem-ingestion-practitioner-guidance)

**CISA (साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी)**
- [CISA: M-21-31 लागू करने के लिए मार्गदर्शन: संघीय सरकार की जांच और सुधार क्षमताओं में सुधार](https://www.cisa.gov/sites/default/files/2023-02/TLP%20CLEAR%20-%20Guidance%20for%20Implementing%20M-21-31_Improving%20the%20Federal%20Governments%20Investigative%20and%20Remediation%20Capabilities_.pdf)
- [CISA: Microsoft विस्तारित क्लाउड लॉग कार्यान्वयन प्लेबुक (2025)](https://www.cisa.gov/sites/default/files/2025-01/microsoft-expanded-cloud-logs-implementation-playbook-508c.pdf)

**Microsoft**
- [Microsoft Sentinel डेटा कनेक्टर संदर्भ](https://learn.microsoft.com/en-us/azure/sentinel/data-connectors-reference)
- [Microsoft Sentinel टेबल और कनेक्टर संदर्भ](https://learn.microsoft.com/en-us/azure/sentinel/sentinel-tables-connectors-reference)
- [Azure-Sentinel GitHub रिपॉजिटरी](https://github.com/Azure/Azure-Sentinel) (सामुदायिक विश्लेषण नियम, कनेक्टर परिभाषाएँ, समाधान टेम्पलेट)
- [Microsoft Sentinel बिलिंग](https://learn.microsoft.com/azure/sentinel/billing)
- [Microsoft Sentinel डेटा टियर प्रबंधन](https://learn.microsoft.com/azure/sentinel/manage-data-overview)

**MITRE**
- [MITRE ATT&CK डेटा स्रोत](https://attack.mitre.org/datasources/)

**NIST (मानक और प्रौद्योगिकी का राष्ट्रीय संस्थान)**
- [NIST SP 800-92: कंप्यूटर सुरक्षा लॉग प्रबंधन के लिए मार्गदर्शिका](https://csrc.nist.gov/pubs/sp/800/92/final)

**NSA (राष्ट्रीय सुरक्षा एजेंसी)**
- NSA साइबर इवेंट फॉरवर्डिंग मार्गदर्शन

**NCSC-UK (राष्ट्रीय साइबर सुरक्षा केंद्र - यूनाइटेड किंगडम)**
- NCSC-UK की "हमें वास्तव में क्या लॉग करना चाहिए?"

**Google Cloud**
- [Google Cloud ऑडिट लॉग अवलोकन](https://docs.cloud.google.com/logging/docs/audit)
- [Google Cloud ऑडिट लॉग सर्वोत्तम प्रथाएँ](https://docs.cloud.google.com/logging/docs/audit/best-practices)


अन्य स्रोतों का भी उपयोग किया गया, साथ ही लेखक की "विशेषज्ञता" का भी, यदि आप इसे ऐसा वर्गीकृत कर सकते हैं।
---

## परियोजना लेआउट```
LogHorizon.psd1              Module manifest (v0.9.0)
LogHorizon.psm1              Module loader
Public/
  Invoke-LogHorizon.ps1              Entry point, the main orchestrator
  Set-LogHorizonTableRetention.ps1   Scriptable table retention and plan changes
Private/
  Connect-Sentinel.ps1       Azure auth + workspace resolution
  Get-TableUsage.ps1         KQL query for ingestion volumes
  Get-AnalyticsRules.ps1     Analytics rules + table/field extraction + correlation tags
  Get-HuntingQueries.ps1     Hunting queries + table extraction
  Get-DataConnectors.ps1     Data connector inventory
  Get-DataTransforms.ps1     DCR transform discovery, split KQL generation
  Get-DefenderXDR.ps1        Defender XDR analysis (optional)
  Get-Incidents.ps1          Incident fetch + SentinelHealth auto-close attribution
  Get-AutomationRules.ps1    Automation rule inventory + close-logic attribution
  Get-SocOptimization.ps1    SOC improvement recommendations
  Get-TableRetention.ps1     Per-table retention, archive, and plan type
  Get-CollectionCache.ps1    Collection cache (key, path, read, write)
  Get-LogHorizonEndpoint.ps1 ARM / Log Analytics / Graph endpoints for the signed-in Azure environment
  Get-LogHorizonDictionary.ps1 Loads the term dictionary shown by the Dictionary menu
  Invoke-AzRestWithRetry.ps1 REST wrapper: retry on 429/5xx/transport errors, async operation polling
  Invoke-Classification.ps1  Static DB + heuristic classification + _SPLT_CL detection + custom file validation
  Invoke-Analysis.ps1        Cost-value matrix + recommendations + Detection Analyzer + XDR Checker + split suggestions
  Set-TableRetention.ps1     Retention change set, preview, Tables API apply engine, plan support lookups
  Write-Report.ps1           Spectre.Console TUI rendering
  Export-Report.ps1          JSON / Markdown / static HTML export with shared section renderer
Data/
  log-classifications.json              481-entry classification knowledge base
  basic-plan-tables.json                Built-in tables that support the Basic plan (from the Azure Monitor feature matrix)
  auxiliary-plan-tables.json            Built-in tables that support the Auxiliary / Data Lake plan
  implicit-consumers.json               Non-KQL rule kinds to tables, plus platform tables
  dictionary.json                       Term definitions for the Dictionary menu (kept 1:1 with this README, enforced by tests)
  high-value-fields.json                Split KQL knowledge base: 165 tables with curated fields and split hints
  field-frequency-stats.json            Community field frequency stats mined from the Azure-Sentinel rule corpus
  custom-classifications-example.json   Example custom classification override file
  ReportTemplate.html                   Static HTML report template (pure-CSS tabs, zero JS, CSP meta)
Tests/
  LogHorizon.Tests.ps1       437 Pester v5 unit tests

## लाइसेंस

GPL-3.0। देखें [LICENSE](https://github.com/lnfernux/log-horizon/blob/main/LICENSE)।

## संस्करण इतिहास

| संस्करण | दिनांक | परिवर्तन |
|---|---|---|
| 0.9.0 | 2026-09-06 | पूर्ण कोड और डेटा समीक्षा से सुधार रिलीज़। शुद्धता: `Usage.Plan` और `Usage.IsBillable` से प्लान-जागरूक मूल्य निर्धारण, Basic और Data Lake दरों तथा बिलिंग GB (1000 MB) के साथ, Detection Analyzer स्वतः-बंद विशेषता केवल सक्षम close/playbook नियमों (`triggeringLogic.isEnabled`) तक सीमित, `2025-09-01` के साथ `$top=1000` के माध्यम से घटनाएँ, गैर-KQL नियम प्रकारों और प्लेटफ़ॉर्म तालिकाओं के लिए अंतर्निहित कवरेज (`implicit-consumers.json`), इंटरैक्टिव-अवधारण बेसलाइन जाँच, एकल अनुशंसा क्रम। ट्रांसफ़ॉर्म: सदस्यता स्तर पर DCR खोज, गंतव्य कार्यक्षेत्र पर फ़िल्टर की गई, साथ ही कार्यक्षेत्र ट्रांसफ़ॉर्मेशन DCR और संबद्धताएँ, दृश्य स्थिति और अनुमति अनुपलब्ध होने पर चेतावनी के साथ; कार्यक्षेत्र और बहु-चरण ट्रांसफ़ॉर्म पार्सिंग; लाइव तालिका स्कीमा के साथ प्रतिच्छेदित विभाजित KQL। मज़बूती: कैश डिफ़ॉल्ट रूप से चालू (`-NoCache`, `-RefreshCache`, `-CacheMaxAgeMinutes`, `-CachePath`), स्पिनर से पहले प्रमाणीकरण और बाद में चेतावनियाँ मुद्रित, एस्केप किया गया TUI और Markdown आउटपुट, निर्यात पथ समाधान जो निर्देशिकाएँ बनाता है और लिखा गया पथ लौटाता है, HTML में CSP मेटा, परिवहन त्रुटियों और Location-शैली async पूर्णता पर REST पुनर्प्रयास, REST पर कार्यक्षेत्र समाधान (`Az.Resources` हटाया गया), कस्टम वर्गीकरण सत्यापन, Microsoft प्रथम-पक्ष फ़ॉलबैक के साथ PascalCase-जागरूक अनुमान, regex टाइमआउट। एंडपॉइंट साइन-इन किए गए Azure वातावरण (Government, China) का पालन करते हैं और API संस्करण SecurityInsights `2025-09-01`, OperationalInsights `2025-07-01`, अनुशंसाएँ `2025-10-01-preview` पर स्थानांतरित। डेटा: वर्गीकरण डेटाबेस 345 -> 481 प्रविष्टियाँ `status`/`replacedBy`/`xdrStreamable`/`platform` कुंजियों के साथ, 80+ प्रथम-पक्ष और 35 उत्तराधिकारी तालिकाएँ, कनेक्टर लेबल सुधार, `isFree` सुधार; Azure Monitor तालिका सुविधा मैट्रिक्स से पुनर्जीवित `basic-plan-tables.json` और नया `auxiliary-plan-tables.json`; `DeprecatedSource` अनुशंसा, Basic फ़ॉलबैक के साथ प्लान-जागरूक Data Lake अनुशंसा, XDR Checker स्ट्रीमेबिलिटी का सम्मान करता है, TUI और निर्यात में जीवनचक्र बैज। समीक्षा पास: कैश कुंजी मूल्य निर्धारण और मॉड्यूल संस्करण को कवर करती है, कस्टम वर्गीकरण बूलियन और स्तर कास्ट के बजाय पार्स किए जाते हैं, गंभीरता-जागरूक स्वतः-बंद विशेषता, विभाजित KQL विधेय लाइव स्कीमा के विरुद्ध जाँचे जाते हैं, XDR फ़ेच स्थिति मौन `$null` के बजाय सतह पर दिखाई जाती है, बिना एक्सटेंशन वाले आउटपुट पथ फ़ाइलें हैं, घटना स्वामी पहचान अब एकत्र नहीं की जाती। TUI में शब्दकोश मेनू जिसमें टूल द्वारा उपयोग किया जाने वाला हर शब्द है, `Data/dictionary.json` द्वारा समर्थित और परीक्षणों द्वारा कोड से जुड़ा। स्वचालन नियम और Defender कस्टम डिटेक्शन ऑब्जेक्ट उपभोग किए गए फ़ील्ड पर प्रक्षेपित होते हैं, इसलिए लेखक पहचान (createdBy, lastModifiedBy, निर्धारित स्वामी) कभी भी कैश या निर्यात तक नहीं पहुँचती। GPL-3.0 लाइसेंस। 437 परीक्षण |
| 0.8.0 | 2026-05-26 | इंटरैक्टिव तालिका अवधारण प्रबंधन जोड़ा गया, नए बल्क TUI फ़्लो और एकल-तालिका अद्यतन प्रवेश बिंदु के साथ, साथ ही सार्वजनिक `Set-LogHorizonTableRetention` कमांड। सत्यापन, Azure async-ऑपरेशन पोलिंग और दो-चरण फ़ॉलबैक (संयुक्त PATCH, फिर केवल-प्लान और केवल-अवधारण) के साथ Tables API PATCH अनुप्रयोग इंजन जोड़ा गया, लचीले अवधारण अद्यतनों के लिए। सत्यापन, पेलोड आकार, फ़ॉलबैक और सार्वजनिक कमांड मैपिंग के लिए केंद्रित Pester कवरेज जोड़ा गया। एक एज-केस/बग भी ठीक करता है जहाँ उपयोगकर्ताओं को data lake तालिकाओं को data lake स्तर में बदलने की अनुशंसाएँ मिलती थीं यदि उनके पास Sentinel में विश्लेषण डेटा था |
| 0.7.1 | 2026-05-15 | कॉन्फ़िगर की गई तालिका योजना को प्रतिस्थापित किए बिना `Usage.Plan` से प्लान-जागरूकता जोड़ी गई: विश्लेषण अब देखे गए प्लान इतिहास को ट्रैक करता है, बहु-प्लान उपयोग और कॉन्फ़िगर-बनाम-देखा गया बेमेल को ध्वजांकित करता है, और डैशबोर्ड, तालिका ड्रिल-डाउन, View All Tables, अवधारण मूल्यांकन और निर्यात में प्लान डेटा सतह पर लाता है। Detection Analyzer स्वतः-बंद विशेषता ठीक की गई ताकि समय अनुमान केवल तभी लागू हो जब कोई सक्षम स्वचालन नियम मौजूद न हों। 203 परीक्षण पास |
| 0.7.0 | 2026-04-16 | Detection Assessment को लागत-मूल्य मैट्रिक्स सारांश तालिका (Primary/Secondary x7 मूल्यांकन श्रेणियाँ रंग कोडिंग के साथ), प्राथमिक/द्वितीयक तालिकाओं के लिए ड्रिल-डाउन सबमेनू लागत/डिटेक्शन स्तर कॉलम के साथ अद्यतन किया गया। Detection Analyzer को GB-भारित वॉल्यूम कवरेज बार (डिटेक्शन/हंटिंग/संयुक्त GB कुल इंजेशन के प्रतिशत के रूप में मौजूदा तालिका-गणना बार के साथ) के साथ अद्यतन किया गया। Detection Analyzer के लिए अनुकूली प्रदर्शन सुधार (गतिशील बार चौड़ाई, नियम नाम ट्रंकेशन, कंसोल चौड़ाई के आधार पर सशर्त कॉलम छिपाना)। 193 परीक्षण पास |
| 0.6.3 | 2026-04-11 | PSGallery के लिए मामूली अद्यतन |
| 0.6.2 | 2026-04-11 | Log Tuning / Transforms मेनू: लाइव डेटा ट्यूनिंग विश्लेषण (तैनात नियमों/हंटिंग क्वेरी से प्रति-तालिका फ़ील्ड उपयोग, फ़िल्टर/प्रोजेक्ट/संयुक्त KQL जनरेशन, बचत अनुमान), Tables API से स्कीमा कॉलम निष्कर्षण, `Get-SplitKql` फ़ॉलबैक पदानुक्रम (समुदाय आँकड़े → श्रेणी डिफ़ॉल्ट → सार्वभौमिक फ़ील्ड), फ़ील्ड उपयोग मैट्रिक्स के साथ व्यापक तालिका मूल्यांकनकर्ता, एकीकृत KB + लाइव ट्यूनिंग निर्यात अनुभाग, Azure-Sentinel GitHub नियम कॉर्पस के लिए `Build-FieldKnowledgeBase.ps1` खनन स्क्रिप्ट। Detection Analyzer: SentinelHealth-आधारित स्वतः-बंद विशेषता (प्राथमिक) ऑपरेटर-जागरूक नियम-मिलान फ़ॉलबैक के साथ, Boolean शर्त रैपर पार्सिंग, Resolved स्थिति पहचान, ARM संसाधन ID के लिए GUID-पूंछ मिलान। कवरेज अब सभी तालिकाओं (मुफ़्त स्तर सहित) में तालिका-गणना-आधारित है। TUI और निर्यात में स्कोरिंग अस्वीकरण जोड़ा गया। 174 परीक्षण |
| 0.6.1 | 2026-04-10 | बग फिक्स: `$kqlKeywords` फ़िल्टरिंग अब फ़ाइल स्कोप पर साझा (पहले `Get-TablesFromKql` में अपरिभाषित था), सभी सहायक फ़ंक्शनों में `[CmdletBinding()]` जोड़ा गया, Defender एकीकृत जाँच सरलीकृत, भूत `-RuleCount` परीक्षण पैरामीटर हटाया गया। मज़बूती: `Get-HuntingQueries` पेजिनेशन, 429/5xx के लिए एक्सपोनेंशियल बैकऑफ़ के साथ `Invoke-AzRestWithRetry` पुनर्प्रयास रैपर, `PricePerGB` सत्यापन, प्रमुख फ़ंक्शनों में `Write-Verbose`। दस्तावेज़: संस्करण बैज, DB गणना, मेनिफ़ेस्ट के साथ संरेखित पूर्वापेक्षाएँ |
| 0.6.0 | 2026-04-10 | 21 `KnownXDRTables` के साथ गतिशील XDR स्ट्रीमिंग डिटेक्शन (पहले हार्डकोडेड 18 थे), प्रति-तालिका `XDRState` (`NotStreaming`/`Analytics`/`Basic`/`Auxiliary`), Auxiliary को data lake स्तर के रूप में मान्यता, स्ट्रीम न की गई XDR तालिकाएँ `NotStreamedCount` के साथ Information/Low अनुशंसाओं के रूप में सतह पर, अवधारण विश्लेषक स्ट्रीम न की गई XDR तालिकाओं को "XDR only (30d)" के रूप में दिखाता है, अवलोकन स्तर विभाजन (analytics/basic/data lake + स्ट्रीम नहीं), Export-Report Auxiliary→"data lake" लेबल, वर्गीकरण DB 345 प्रविष्टियों पर अद्यतन (+`DeviceNetworkInfo`, `DeviceInfo`→secondary/datalake, `DeviceImageLoadEvents` और `IdentityQueryEvents`→datalake स्तर), 15 नए Pester परीक्षण (कुल 121) |
| 0.5.0 | 2026-04-03 | शुद्ध-CSS टैब के साथ स्थिर HTML निर्यात (शून्य JS, कोई CDN नहीं, पूरी तरह से स्व-निहित), एकीकृत MD/HTML अनुभाग रेंडरर, पूर्ण JSON डेटा कैप्चर (dataTransforms, correlationExcluded/Included, streamingTables), CI/पाइपलाइन उपयोग के लिए `-NonInteractive` स्विच, `md` प्रारूप उपनाम, datetime-स्टैम्प्ड स्वचालित फ़ाइलनाम, DCR ट्रांसफ़ॉर्म में पूर्ण KQL प्रदर्शन (कोई ट्रंकेशन नहीं), मार्कडाउन तालिकाओं में मल्टीलाइन KQL हैंडलिंग, HTML टोकन प्रतिस्थापन में regex `$`-बैकरेफ़रेंस भ्रष्टाचार ठीक किया, PowerShell उपनाम संघर्षों से बचने के लिए आंतरिक सहायकों का नाम बदला (`h`→`hEnc`, `md`→`mdEsc`), 33 नए Pester परीक्षण (कुल 106) |
| 0.4.1 | 2026-04-03 | सुरक्षा और स्थिरता फिक्स - टोकन मेमोरी सैनिटाइज़ेशन, आउटपुट पथ सत्यापन और XSS सुरक्षा, REST API पेजिनेशन सीमाएँ, मॉड्यूल लोडर त्रुटि मास्किंग ठीक की गई, और PSScriptAnalyzer चेतावनियाँ हल की गईं |
| 0.4.0 | 2026-04-02 | ट्रांसफ़ॉर्म खोज (DCR सूची + ट्रांसफ़ॉर्म प्रकार वर्गीकरण), विभाजित तालिका पहचान (`_SPLT_CL`), 15-तालिका ज्ञान आधार (`high-value-fields.json`) + नियम-विश्लेषण फ़ॉलबैक के साथ विभाजित KQL सहायक, पोर्टल-तैयार केवल-शर्त KQL आउटपुट, विस्तार योग्य अनुशंसा सूची, विभाजित KQL सुझाव TUI मेनू |
| 0.3.0 | 2026-04-02 | लॉग अवधारण अनुपालन विश्लेषण (CISA M-21-31, NIST SP 800-92, NCSC-UK, ASD ACSC, NSA), सहसंबंध टैग पहचान (`#DONT_CORR#`/`#INC_CORR#`), अवधारण मूल्यांकन मेनू दृश्य, All Tables में अवधारण कॉलम, वर्गीकरण स्कीमा में `recommendedRetentionDays` |
| 0.2.2 | 2026-04-02 | SOC अनुकूलन तालिका संकीर्ण कंसोल पर Detail कॉलम छिपाती है |
| 0.2.1 | 2026-04-02 | कस्टम वर्गीकरण समर्थन (`-CustomClassificationPath`), API सुझावों/ड्रिल-डाउन के साथ समृद्ध SOC अनुकूलन अनुशंसाएँ, केवल-सक्रिय डिफ़ॉल्ट दृश्य, UTF-8 एन्कोडिंग चेतावनी दमन |
| 0.2.0 | - | वर्गीकरण इंजन, लागत-मूल्य स्कोरिंग, Spectre.Console TUI, JSON/Markdown निर्यात के साथ प्रारंभिक सार्वजनिक रिलीज़ |
| 0.1.0 | - | विकास के लिए आंतरिक संस्करण |

## ज्ञात समस्याएँ

### PwshSpectreConsole UTF-8 एन्कोडिंग चेतावनी

अपने टर्मिनल में UTF-8 आउटपुट सक्षम करने के लिए, अपनी PowerShell `$PROFILE` फ़ाइल के शीर्ष पर निम्न पंक्ति जोड़ें और टर्मिनल को पुनः आरंभ करें:```powershell
$OutputEncoding = [console]::InputEncoding = [console]::OutputEncoding = [System.Text.UTF8Encoding]::new()