Construya una consulta de Azure Log Analytics que encuentre intentos fallidos de inicio de sesión de usuarios de los últimos días y que devuelva solo los usuarios con más de cinco intentos fallidos. ¿Qué elementos se deben incluir en la consulta?

La opción correcta es EventID y Count() porque EventID es un campo común en los logs de seguridad de Azure que identifica el tipo de evento (como un intento de inicio de sesión fallido), y Count() es una función de agregación necesaria para contar el número de ocurrencias de estos eventos. Para filtrar por usuarios con más de cinco intentos fallidos, se agruparían los resultados por usuario y luego se usaría Count() para contar los eventos fallidos de cada uno, aplicando un filtro posterior. ActivityID se usa para correlacionar eventos relacionados dentro de una operación, no para identificar el tipo de evento de seguridad. CountIf() no es una función de agregación estándar en KQL para este propósito; se usa Count() con un filtro o un operador where antes de la agregación.