Buscar lo nuevo en SPL

La cola larga encuentra lo poco frecuente; no distingue lo que es poco frecuente desde hace meses de lo que es nuevo. Para lo nuevo hay que comparar contra una base: lo que ya existía antes de la ventana que te interesa. La idea es sencilla. Para cada par (equipo, dominio) buscas la primera vez que aparece en todo el historial, y te quedas con los pares cuya primera vez cae dentro de la ventana.

index=proxy equipo=msi-srv*
| stats min(_time) as primera by equipo dominio
| where primera >= strptime("2027-02-22", "%Y-%m-%d")

stats min(_time) calcula la primera vez de cada par y strptime convierte una fecha escrita en el número que usa _time. La base importa: si es demasiado corta, casi todo parecerá nuevo; si incluye ya el comportamiento que buscas, lo habrás metido en lo normal. Por eso la primera vez se calcula sobre todo el historial disponible, no sobre dos días.

La búsqueda de la tarea anterior, ejecutada sobre index=proxy, deja los pares que aparecen por primera vez desde el 22 de febrero. Hay más de uno. Para saber cuál merece una pregunta, cruza cada par con el lookup cambios, la lista de pares que un cambio aprobado autorizó y desde cuándo. Un par nuevo con cambio es ruido explicado; uno sin cambio es el hilo.

... | lookup cambios equipo dominio OUTPUT cambio
    | fillnull value="sin cambio" cambio

lookup añade la columna cambio cuando el par existe en la lista y fillnull rellena con un texto lo que no encontró, para que el hueco se lea.

El otro par nuevo de la semana es de un servidor del ERP y sí tiene cambio. Un cambio aprobado no cierra un par por sí solo: hay que comprobar que encaja. El dominio que el cambio autoriza debe ser el que se pidió, el equipo debe ser el mismo y la primera petición no puede ser anterior a la fecha desde la que vale. Si encaja, se anota como explicado y se sigue; si no encaja, no hay cambio que lo cubra.

Un dominio nuevo sin cambio es un hilo; para dimensionarlo se mira cuánto tráfico hubo con él. En el proxy, bytes_in es lo que el servidor recibió del dominio y bytes_out lo que le envió. Sumar cada columna para ese par con stats sum() da la forma del intercambio: mucho más recibido que enviado se parece a una descarga; lo contrario, a una subida. El proxy no dice qué se descargó; solo cuánto.