Descargas masivas en SharePoint y OneDrive

Los archivos de SharePoint y de OneDrive dejan dos operaciones parecidas. FileDownloaded se registra cuando alguien descarga un documento de un sitio. FileAccessed se registra cuando una persona o una cuenta del sistema accede a un archivo, y después de un acceso el sistema no vuelve a registrar FileAccessed para la misma persona y el mismo archivo durante cinco minutos.

Esa pausa de cinco minutos hace que FileAccessed no sirva para contar cuántas veces se abrió algo. Para medir un volumen de descargas se cuenta FileDownloaded.

La tabla descargas_por_usuario resume el día: cuántas descargas hizo cada cuenta, la primera y la última hora en UTC y la dirección de origen. Una cuenta con más descargas que las demás no es todavía un caso, pero sí la primera fila que se mira.

Un número alto significa poco hasta compararlo con la costumbre de la misma cuenta. La tabla linea_base trae el promedio de descargas por día de los 30 días anteriores. Dividir lo de hoy entre ese promedio da cuántas veces su costumbre fue superada, y esa razón permite comparar cuentas que normalmente descargan muy distinto.

Además de cuánto, importa qué. La tabla descargas_por_sitio reparte las descargas de la cuenta por sitio de SharePoint. Un sitio con contratos o con tarifas de clientes no pesa lo mismo que uno de documentos de uso general, y eso decide la prioridad con que se escala y a quién se avisa.

archivos_muestra trae cinco de esos registros con su UserAgent: el cliente que hizo la petición. Tres descargas en dos segundos, una detrás de otra, apuntan a un programa y no a una persona dando clic archivo por archivo.

El registro dice que la cuenta descargó 420 archivos en menos de diez minutos, desde una dirección distinta a la de las demás cuentas. No dice quién estaba detrás, por qué lo hizo ni si salieron de la empresa. Un volumen alto pide una pregunta más antes de concluir: el cliente, la dirección, el inicio de sesión que lo precede y lo que hizo la cuenta justo antes y después.