Cuando la canalización miente: huecos, retrasos y duplicados

La falla más peligrosa de una canalización es la que no hace ruido. Una fuente que deja de enviar no produce una alerta: simplemente no hay filas. Para notarlo hay que mirar el conteo de eventos por fuente y por intervalo y compararlo con lo habitual de esa fuente y de esa hora. Un cero en una fuente que siempre envía es una señal; un cero en una que solo envía de noche, no.

Abre conteo_por_hora, con las seis primeras horas del martes.

Saber desde cuándo falta una fuente delimita lo que no se puede investigar: toda detección y toda búsqueda sobre esa fuente es ciega desde esa hora hasta que se restablece. Esa ventana es la que se anota en el caso como periodo sin cobertura.

Una regla de detección solo ve lo que le llega. Si la fuente de la que depende no envía, la regla no se dispara, y eso se parece mucho a «no pasó nada». La diferencia entre ausencia de alerta y ausencia de actividad es la que más cuesta a los equipos que miden su cobertura solo por las alertas que ven.

Cuando un envío agota su tiempo de espera, muchos agentes reintentan, y el evento puede llegar dos veces si el primer envío sí llegó pero la confirmación no. Los duplicados inflan conteos, distorsionan umbrales («más de diez intentos fallidos») y hacen que una cuenta parezca más activa de lo que es. Se detectan comparando los eventos ingeridos con los identificadores distintos que traen.

El retraso se mide por fuente como la diferencia entre la hora del evento y la de llegada al almacén. Una mediana de pocos segundos es lo normal. Una mediana de más de una hora significa que las alertas de esa fuente se evalúan sobre eventos viejos, y que una línea de tiempo armada con la hora de llegada pondría esos eventos en un lugar equivocado.