Buscar lo raro en KQL, la cola larga

En una tabla grande casi todo es lo mismo: los mismos programas, las mismas cuentas, los mismos dominios. Cuando no sabes qué buscar, una forma barata de empezar es contar por un campo y ordenar de menos a más. Lo normal queda al final de la lista, con cifras grandes; lo que ocurre una o dos veces, la cola larga, queda arriba. En KQL:

tareas_win
| summarize veces = count() by ejecutable
| sort by veces asc

summarize agrupa y calcula, aquí cuenta filas por cada valor distinto de ejecutable; sort by veces asc ordena de menor a mayor (sin asc, KQL ordena de mayor a menor). Es la forma más rápida de poner delante lo que no encaja con el resto, y vale para cualquier campo: ejecutables, dominios, cuentas, equipos de origen.

Pero raro no es malo. Es un candidato: lo primero que merece una pregunta, no una conclusión.

Lanza la cuenta por ejecutable sobre tareas_win y mira lo que queda arriba. Hay dos ejecutables que aparecen una sola vez. Para decidir cuál merece la primera pregunta, no basta con que sea único: mira también dónde se creó, quién la creó y desde qué carpeta corre. Y recuerda la otra medida de rareza: contar en cuántos equipos distintos aparece una tarea con dcount no dice lo mismo que contar cuántas veces se creó.

La otra tarea que aparece una sola vez no se descarta por pequeña ni se escala por rara. Se enriquece, como cualquier alerta del triaje: quién la creó, en qué equipo, de quién es ese equipo según el inventario y qué hay en la ruta de su ejecutable. El inventario está en la tabla inventario.

Una fila rara no es todavía un caso: es un hilo del que tirar. La cuenta de la tarea del servidor es una cuenta de servicio, de las que en teoría no inician sesión como personas. La tabla inicios_win tiene los inicios de sesión interactivos y remotos en servidores de los últimos 45 días, con la dirección de origen; el inventario traduce esa dirección en un equipo y un responsable.

Lee solo lo que está escrito: lo que se pregunta es desde qué equipo aparece iniciada esa sesión, no quién estaba sentado. Un equipo puede ser el origen de una sesión sin ser de quien la usó esa noche.