kCQL bietet dem Nutzer Zugriff auf Betriebssystemdaten, wie z.B. die Liste der laufenden Prozess oder geöffnete Netzwerksockets. Darüber hinaus kann kCQL als Bibliothek zu jedem beliebigen Programm geladen werden, wodurch der Nutzer Daten sowohl aus dem Kernel als auch von verschiedenen Nutzerprozessen kombinieren kann. Im Vergleich zu anderen Lösungen bietet kCQL Zugriff auf sowohl den Zustand eines Programms bzw. des Betriebssystemkerns als auch auf Ereignisse wie eingehende Netzwerkpakete. Der Zugriff auf die Daten wird über eine SQL-artige Anfragesprache, CQL (Continous Query Language) genannt, realisiert, die von der Universität Standford entwickelt wurde. kCQL basiert auf der Implementierung von CQL, genannt STREAMS.