Libros de consultas reutilizables

let da nombre a un valor, a una lista o a un resultado de tabla al comienzo de la consulta, y termina con punto y coma. En vez de repetir la cuenta o los países habituales en tres sitios, se definen una vez arriba y el cuerpo de la consulta usa el nombre. Para reutilizar la consulta con otra persona se cambia solo la primera línea; ese es el mecanismo detrás de las consultas con parámetros que un equipo comparte.

Prueba let usuario = "[email protected]"; SigninLogs | where UserPrincipalName == usuario | project TimeGenerated, IPAddress, ResultType y observa que el filtro no tiene la cuenta escrita dentro.

Una biblioteca de consultas es un inventario más: cada una tiene un identificador, un nombre que dice qué pregunta responde, el texto, quién la escribió, cuándo se revisó y en qué estado está (activa, en prueba, obsoleta). Revisarla es leer cada texto y comprobar que hace lo que dice su nombre. Ejecuta biblioteca y lee la columna de las consultas con atención.

Un error de comparación en un filtro no produce un mensaje de error: produce un resultado vacío, que parece «no hubo nada» y es justo lo que un defensor no puede tomar por bueno sin comprobar. == distingue mayúsculas de minúsculas y compara contra el valor exactamente como está en la tabla. Para ver cómo se escriben los valores de una columna, filtra con el valor exacto: AzureActivity | where ActivityStatusValue == "Failed" devuelve tres filas, y =~ es la comparación que ignora mayúsculas.

El segundo defecto es de tipo. En la primera sala viste que ResultType es de tipo texto, y en la segunda que el éxito se escribe "0" con comillas. Comparar una columna de texto con un número sin comillas no corresponde al tipo de la columna y no es la forma de escribirlo. Lee de nuevo el texto de cada consulta de SigninLogs de la biblioteca y busca la que no respeta el tipo.

La consulta marcada como obsoleta tiene un tercer problema: acota el tiempo con una fecha fija escrita a mano. Hoy funciona; dentro de un año seguirá mirando desde esa fecha y devolverá cada vez más filas. Para una consulta que se guarda y se corre todos los días, la ventana debe ser relativa: ago(1d) significa «desde hace un día, contado desde el momento en que corre la consulta». Ejecuta AzureActivity | where TimeGenerated > ago(1d) | where hourofday(TimeGenerated) < 5 para ver la forma corregida.

El estado «activa» dice que alguien decidió usar la consulta, no que funcione. Un resumen del estado de la biblioteca da el panorama y es una buena práctica de higiene: cada consulta con nombre, autor, última revisión y estado, y una revisión periódica que ejecute cada una y compruebe que devuelve lo esperado en un caso conocido. Ejecuta biblioteca | summarize Consultas = count() by estado para ver cuántas hay en cada estado.

Con lo que viste en las tareas anteriores, el número de consultas activas incluye una que tiene un defecto. Esa es la razón por la que la revisión no se puede basar solo en la etiqueta.