Filtrar y proyectar con where y project

where recibe una condición y conserva las filas donde es verdadera. Con texto se usa == (igual) o != (distinto), y el valor va entre comillas dobles. == distingue mayúsculas de minúsculas: "CO" y "co" son valores distintos. Varias condiciones se combinan con and y or, y in compara contra una lista de valores.

Hay un detalle propio de los registros de Entra: ResultType es de tipo texto y vale "0" cuando el inicio de sesión salió bien. Cualquier otro valor es un fallo, con un código que dice por qué. Por eso ResultType != "0" es la forma corta de decir «todo lo que falló». Prueba SigninLogs | where ResultType != "0" en la consola.

Después de un filtro, count resume el resultado en una cifra. El código 50126 significa que las credenciales (usuario o contraseña) no eran correctas, y la documentación de errores de Entra avisa de que es normal ver algunos en los registros porque las personas se equivocan al teclear. Lo que no es normal es verlos repetidos, seguidos y contra la misma cuenta.

Un fallo repetido suele terminar en otro código. 50053 indica que la cuenta quedó bloqueada por demasiados intentos con credenciales incorrectas. Es una señal útil de lectura: dice que alguien insistió lo bastante como para activar el bloqueo, aunque no dice quién era. Para saber a quién le pasó basta filtrar por ese código y leer la columna de la cuenta.

Acotar el tiempo es el filtro más importante: reduce el trabajo y evita mezclar días. between (A .. B) deja las filas con valor entre A y B, incluidos ambos extremos, y las fechas se escriben con datetime(...). En una consulta de vigilancia que corre cada día se usaría una ventana relativa, como ago(1d), pero para revisar un hecho pasado con hora conocida una ventana fija es lo correcto.

La clínica trabaja de día, así que una entrada administrativa de madrugada merece mirarse. Acota entre las 02:00 y las 05:00 UTC del martes 9 y lee de dónde venía.

project elige qué columnas se quedan y en qué orden; las demás desaparecen del resultado. Sirve para dejar la vista legible, por ejemplo hora, cuenta, dirección y código. extend hace otra cosa: añade una columna calculada y conserva todas las que ya había. Lo normal es combinarlos: primero se calcula lo que falta con extend y luego se deja lo necesario con project.

Prueba SigninLogs | where ResultType != "0" | project TimeGenerated, UserPrincipalName, IPAddress, ResultType y después la versión con extend, que marca cada fallo como de origen habitual o nuevo según el país.