Agrupar por entidad y por pares

Una entidad es la unidad a la que se le pide cuentas: un usuario, una cuenta de servicio, un equipo, un destino. Contar por entidad significa agrupar los eventos de cada una y medirla por separado, en vez de sumar todo y mirar el total. El total de la compañía oculta quién lo produce: mil eventos pueden ser uno por usuario, o novecientos de uno solo.

La estadística de caza casi siempre agrupa por entidad y luego compara las entidades entre sí o cada una contra su propio pasado. Es lo que permite decir que una cuenta se sale, no que «hay mucha actividad».

Abre la consola. La tabla destinos_remotos trae, por usuario y rol, los equipos distintos alcanzados con una sesión remota en 30 días. Ejecuta destinos_remotos | sort by destinos desc | take 10 para ver los diez que más alcanzan, destinos_remotos | summarize promedio = avg(destinos), desviacion = stdev(destinos) para el resumen de toda la compañía y destinos_remotos | summarize promedio = avg(destinos), desviacion = stdev(destinos) by rol para el de cada rol.

El que más alcanza en bruto no tiene por qué ser el que más se aleja de su grupo. Compara a cada candidato con el promedio y la desviación de su propio rol, no con los de la compañía.

La distancia en desviaciones es la z clásica: el valor menos el promedio, dividido por la desviación. Calculada con los números de la compañía entera, la persona de la tarea anterior parece normal, y quien más alcanza de toda la lista parece lo más extraño. Calculada con los de su rol, la lectura se invierte.

Haz la cuenta de la z con los datos del rol de la persona de la tarea anterior y redondea al entero. Con tan pocas personas por rol la cifra es orientativa, pero ya separa «normal para su grupo» de «se sale».

Hay dos referencias legítimas para una entidad. La primera es su propio pasado: «esta cuenta nunca había alcanzado tantos equipos». Funciona cuando la entidad tiene historial suficiente y estable. La segunda son sus pares: «alcanza muchos más que quienes hacen lo mismo». Funciona cuando no hay historial, por ejemplo con una cuenta nueva, o cuando el historial cambió de nivel con un cambio de puesto.

Las dos se complementan. Una entidad puede ser normal contra sus pares y rara contra sí misma, o al revés, y esa diferencia es en sí una pista.

Un grupo de pares sirve cuando sus miembros hacen lo mismo y hay suficientes para que el promedio y la desviación no dependan de uno solo. Un grupo definido por el nombre del departamento puede mezclar funciones muy distintas, y uno de dos personas no da una desviación fiable. Fíjate en el rol de planta de la tabla: casi todos sus miembros alcanzan cero o un destino, así que su desviación es minúscula y un solo destino de más ya parecería enorme.

Por eso el grupo se define por función y se revisa el tamaño. Un grupo demasiado pequeño o demasiado heterogéneo se amplía, se fusiona con uno parecido, o se mide con la mediana y la MAD.