Uso desde ubicaciones nuevas

«Fuera de Colombia» describe la empresa, no a cada persona. Un técnico que viaja cada mes a otro país tiene ese país en su base; una administradora de la nube que solo entró desde Colombia en 90 días no. Por eso la línea base se calcula por cuenta: los países, las redes y los clientes desde los que esa cuenta suele entrar, y la hipótesis se escribe sobre lo que sale de esa base.

La forma habitual en consulta es comparar contra una tabla de lo conocido, y una segunda tabla de excepciones aprobadas, como los viajes.

SigninLogs
| where ResultType == "0"
| where Location !in (paises_habituales)

Filtra los inicios exitosos fuera de Colombia y descarta lo que la base o los viajes explican. Quedan dos clases de filas: las que la base de la cuenta ya incluía y las que un viaje avisado justifica. Lo que no tiene ninguna de las dos es el hallazgo. El éxito importa: un fallo desde otro país dice que alguien lo intentó; un éxito dice que entró.

Un inicio de sesión trae más campos que el país. El cliente con el que se entró dice mucho: un navegador normal es lo habitual en el portal; un protocolo heredado de correo no es lo que alguien usa para entrar a administrar la nube. Cuando la cuenta de una persona aparece con un cliente que nunca usó, la combinación de país nuevo y cliente nuevo pesa más que cada dato por separado.

Mira el inicio exitoso de la cuenta del hallazgo y lee la columna del cliente.

Si la misma cuenta entra desde dos países con muy poco tiempo entre una entrada y otra, alguno de los dos no es la persona: nadie cambia de continente en minutos. Es el «viaje imposible» y se calcula restando las horas. Todas las horas del registro están en UTC, así que la resta se hace directo, sin pasar a hora local.

Para esta cuenta, busca el último inicio exitoso desde Colombia antes del que viene del país nuevo.