Volúmenes por origen y por destino

Un registro de flujo trae tres cantidades y cada una contesta una pregunta distinta. Los bytes dicen cuánto se movió: sirven para ver copias, descargas y fugas. Los paquetes dicen cuántas veces se habló: una conversación de muchos paquetes pequeños no es lo mismo que una de pocos grandes. Y el número de flujos dice con cuántas conversaciones distintas: un equipo que abre miles de flujos con cada vez muy pocos bytes está tocando a la puerta de muchos sitios, no moviendo datos.

Ordenar siempre por bytes es el atajo, y se pierde justo lo que no pesa. Ejecuta resumen_hora y compara las columnas de un puesto de oficina con las del servidor de correo.

Agregar por origen es sumar los bytes subidos, los bajados y los flujos de cada dirección interna en una hora o un día. Es la tabla que se lee primero porque cabe en una pantalla: ocho equipos en lugar de ocho mil registros. Ejecuta resumen_hora | sort by mb_subidos desc | take 3 y mira la primera fila.

El que más sube no es sospechoso por eso. Un servidor de copias sube gigas cada hora de su ventana y es lo que debe hacer. Un buen analista no dice «es el primero de la lista» sino «es el primero de la lista y esto es lo que hace en su rol»: la columna rol y el número de destinos distintos ya lo dicen antes de abrir nada más.

Un puesto de oficina baja mucho más de lo que sube: pide una página y le llega entera, abre un archivo del servidor y lo recibe. Mirando la tabla, los puestos normales bajan entre diez y veinte veces lo que suben. La proporción subida/bajada tiene una ventaja sobre el volumen absoluto: sirve aunque el total sea pequeño, y compara a un equipo con lo que debería ser un equipo como él.

Un servidor de copias o una cámara de planta tienen proporciones invertidas por construcción, y eso es lo normal para ellos. En un puesto de oficina, una proporción que se invierte es una pregunta. Calcula, dividiendo los megabytes subidos entre los bajados, cuántas veces más sube que baja el puesto de planificación (consulta resumen_hora).

La misma tabla vista desde el otro lado: en lugar de «cuánto sube cada equipo», cuánto recibe cada destino y cuántos equipos internos le envían. Los destinos grandes y conocidos —el servicio de copias, la suite de ofimática— reciben de muchos equipos. Un destino que recibe un volumen apreciable de un solo equipo, y que no estaba en el histórico, es el tipo de cosa que se escribe en la lista de pendientes.

La columna primera_vez compara cada destino con el histórico: «antes del 09-01» quiere decir que ya se veía. Ejecuta por_destino | where primera_vez == "10-06".

El destino de la tarea anterior no es el que más recibió en la hora: el servicio de copias recibió casi veinte veces más. Si el SOC mirara solo el volumen, el puesto de planificación nunca llegaría a la primera pantalla. Lo hace llegar la combinación de tres cosas: una proporción de subida invertida para un puesto de oficina, pocos destinos distintos (tres, cuando sus compañeros hablan con treinta o cuarenta) y un destino nuevo.

El volumen ordena la lista; el contexto decide a quién se llama. Una cifra grande con un rol que la explica baja de prioridad, y una cifra modesta que no encaja sube.