La misma pregunta en KQL y en SPL

Los dos lenguajes piensan igual —una fuente y una cadena de pasos— y la mayoría de las piezas tienen pareja directa. Esta es la tabla que conviene tener a mano en el turno:

Dos detalles de forma que se olvidan: en SPL el nombre de una columna calculada va detrás con as, no delante con un igual; y la columna de tiempo no se llama como en la tabla de origen, sino _time. Como referencia de mercado: QRadar, otro SIEM frecuente en las vacantes, pregunta en AQL, un lenguaje con forma de SQL (SELECT … FROM events WHERE …); la lógica que traduces aquí es la misma que traducirías allí.

summarize y stats hacen lo mismo con otra ortografía. vpn | where accion == "login" and resultado == "ok" | summarize cuentas = dcount(usuario) by pais se escribe en SPL moviendo los filtros a la búsqueda, cambiando dcount por dc y pasando el nombre de la columna detrás de as. Si la traducción está bien, el número tiene que ser el mismo en los dos SIEM sobre los mismos datos; si no lo es, el fallo está en la traducción, no en los datos.

Una diferencia que no se ve en el texto: igual que en KQL, dc es una estimación rápida cuando los valores distintos son muchísimos. Con los números de un turno normal coincide con la cuenta exacta.

Primera: el orden por defecto. sort by n en KQL ordena de mayor a menor; sort n en SPL, de menor a mayor. Quien traduce palabra por palabra obtiene el último de la lista en vez del primero, y la búsqueda no da ningún error.

Segunda: top. En KQL, top 5 by n ordena por la columna n y se queda con cinco filas. En SPL, top cuenta cuántas veces aparece cada valor de un campo; no ordena por una columna calculada. La traducción de un top de KQL es sort - n | head 5.

Tercera: take y head. take 10 de KQL devuelve diez filas cualesquiera. head 10 de SPL sobre eventos sin agrupar devuelve los diez más recientes. Las dos sirven para echar un vistazo; ninguna sirve para sacar conclusiones, y no muestran lo mismo.

El equipo de detección te manda esta consulta, que en su SIEM sirve para encontrar la cuenta que más túneles abre en una noche: vpn | where accion == "tunel" | summarize sesiones = count() by usuario | top 1 by sesiones. Tradúcela a SPL, ejecútala sobre la noche de la filial y comprueba que no caíste en la trampa del orden.