Series de tiempo y anomalías simples

summarize Fallos = count() by bin(TimeGenerated, 1h) cuenta los fallos por hora. Pero summarize solo devuelve los grupos que existen: una hora sin ningún fallo no sale como una fila con cero, simplemente no sale. Un día tiene 24 franjas de una hora; si el resultado trae menos filas, faltan las franjas vacías, y eso cambia cualquier promedio que se calcule sobre él.

Ejecuta esa consulta ordenada por hora y cuenta cuántas de las 24 horas del jueves no aparecen.

make-series está hecho para series de tiempo: make-series Fallos = count() on TimeGenerated from A to B step 1h. Devuelve una sola fila con dos listas del mismo largo, los valores y las marcas de tiempo, y las franjas sin datos se rellenan con el valor por defecto, 0. El límite superior to no se incluye. Es la forma correcta de preparar datos para un gráfico o para un cálculo estadístico, porque la serie queda completa.

Ejecuta SigninLogs | where ResultType != "0" | make-series Fallos = count() on TimeGenerated from datetime(2027-03-11T00:00:00Z) to datetime(2027-03-12T00:00:00Z) step 1h y compara la lista de valores con el resultado anterior.

Para saber si una hora es alta hay que saber qué es normal. El promedio sirve de referencia, pero depende de si se cuentan las horas vacías. Ejecuta SigninLogs | where ResultType != "0" | summarize Total = count() para tener los fallos del día y reparte ese total entre las 24 horas. Luego ejecuta la consulta que promedia solo sobre las franjas que existen, SigninLogs | where ResultType != "0" | summarize Fallos = count() by bin(TimeGenerated, 1h) | summarize Promedio = avg(Fallos), Maximo = max(Fallos), y compara: ese promedio sale más alto, porque no cuenta las horas tranquilas.

Un umbral sin base es una corazonada. La tabla LineaBase de este laboratorio resume los 14 días previos: por cada hora del día, el promedio y el máximo de fallos de la clínica. Con ella se justifica un umbral: si el pico de hoy supera el máximo histórico de esa misma hora, no es variación normal. La consulta ... | where Fallos > 15 aplica un umbral fijo y deja la franja que lo supera.

Ejecuta la consulta de la franja anómala y consulta la línea base de la hora en que cae. Una advertencia de honestidad: un umbral fijo es simple y fácil de explicar, pero hay que revisarlo cuando cambia el negocio; las funciones estadísticas más finas de KQL para series (como las de descomposición y detección de anomalías) son el paso siguiente, no el primero.

Un pico se interpreta desglosándolo. La pregunta es de quién son los fallos: de una cuenta, de varias, de una dirección o de muchas. summarize Fallos = count(), Cuentas = dcount(UserPrincipalName) by IPAddress responde cuántos fallos vino cada dirección y contra cuántas cuentas distintas.

Muchos fallos de una persona que olvidó su contraseña se ven como una dirección y una cuenta con muchos intentos. Pocos fallos contra muchas cuentas desde una misma dirección es otro patrón, que las guías de detección describen como intentos repartidos entre cuentas para evitar el bloqueo de cada una. Ejecuta el desglose de la franja del pico.