Escenario, el resolutor de Lácteos del Guavio

La alerta habla del resolutor entero, pero el aumento lo causan uno o pocos clientes. Dos equipos se salen de su línea base esa noche, y no por la misma razón: uno tiene permiso, y también hay un servicio conocido que solo parece raro por sus nombres largos. Busca el que se aparta de lo habitual sin ningún motivo declarado.

Ese cliente toca un solo dominio base. La empresa mantiene una lista de dominios externos que reconoce, con alguien que responde por cada uno. Hay un dominio en la ventana que se parece en el nombre a un servicio del cuarto frío, pero que no figura en esa lista.

Cada cliente tiene su consumo habitual en esa misma ventana de la noche. La desviación se mide contra la base propia del equipo, en la misma unidad: cuántas veces más consultas hizo ese cliente que su media de esa ventana.

Otro equipo dispara una enorme cantidad de respuestas NXDOMAIN en la misma ventana. Su comportamiento es llamativo, pero la empresa lo programó. Hay un registro de cambios que ya lo cubre, con ventana y responsable.

Para el informe hace falta el primer instante del patrón, porque ordena el resto del caso y sirve para buscar en otros registros. La muestra recoge las primeras consultas del equipo hacia el dominio.