Secuencias y unión de fuentes

Una regla de secuencia necesita tres cosas escritas: el orden (qué va antes de qué), la clave que ata los eventos (la misma cuenta y el mismo origen) y el tiempo máximo entre el primero y el último. Sin la clave, fallos de una persona y un éxito de otra parecerían una intrusión; sin el tiempo, un fallo de la mañana y un éxito de la noche también.

En KQL se aproxima agrupando por la clave y comparando las horas de cada tipo de evento:

eventos_identidad
| summarize fallos = countif(resultado == "fallido"),
            ultimo_fallo = maxif(hora, resultado == "fallido"),
            ultimo_ok = maxif(hora, resultado == "correcto")
  by cuenta, origen
| where fallos >= minimo_de_fallos and ultimo_ok > ultimo_fallo

minimo_de_fallos es el mínimo que fija la regla. Esa consulta aún no limita el tiempo entre el último fallo y el éxito; habría que añadir esa condición.

La tabla eventos_identidad tiene cinco cuentas con fallos y éxitos. La regla de Andamar: al menos tres fallos seguidos y, después, un éxito de la misma cuenta y el mismo origen dentro de los diez minutos siguientes al último fallo. Casi todas parecen cumplirla y casi todas tienen un defecto: éxito demasiado tarde, orden invertido, otro origen o pocos fallos.

Ahora la segunda regla. La tabla bajas_rrhh trae el usuario sin dominio (vcastro) y inicios_nube trae la cuenta con él ([email protected]). La unión directa por igualdad, la última consulta, no devuelve ninguna fila. No hay error: una unión cuyas claves no coinciden no falla, simplemente no une, y una regla que no encuentra nada parece una regla sana.

Normaliza la clave: de la cuenta de la nube se toma lo que hay antes de la arroba (split(cuenta, "@") en KQL). Después se une con la baja y se queda con los inicios correctos posteriores a la fecha de baja. Un fallido no cuenta (no entró) y uno anterior a la baja tampoco.

Las fuentes no llegan a la vez: la tabla retrasos_fuente dice cuántos minutos tarda cada una. Una regla que une dos fuentes en tiempo casi real solo puede evaluar un instante cuando ya llegaron las dos; si evalúa antes, no ve el evento lento y lo marca como ausente. Una secuencia entre los inicios de la nube y los de la VPN, entonces, espera al más lento de los dos.