La línea base y lo que se desvía de ella

5 tareas · 60 min · Principiante

Una semana después de ampliar el SOC de Aguas del Chivor, el responsable te pide algo que nadie ha hecho todavía: decir qué es normal en esta empresa y qué no. Hay una línea base de los megabytes que sus servidores envían a internet, el inventario de los elementos de arranque de los 38 Mac de ingeniería, los puertos que cada servidor tiene en escucha y los casos de octubre con sus horas. Lo normal está escrito; lo de hoy también. Te toca medir la distancia entre las dos cosas y decir cuál importa. Todo son datos de ejemplo, de solo lectura.

0 de 5 · 0%

Objetivo de la sala

Un número grande no es una anomalía: es solo un número grande. Un servidor de portal que mueve gigabytes cada día mueve gigabytes todos los días. La anomalía es la distancia entre lo de hoy y lo que ese equipo suele hacer, medida con la propia variación del equipo.

Esa medida se llama desviación estándar. Un equipo con variación pequeña que se aleja poco de su media está más lejos de lo normal que uno con variación grande que se aleja mucho.

Responde para continuar

Entre los cinco servidores, ¿cuál tiene hoy la salida a internet que más se aleja de su propia línea base, medida en desviaciones estándar?

Decir «se aleja mucho» no basta para priorizar. La distancia a la media dividida por la desviación estándar es un número que se puede comparar entre servidores muy distintos, ponerle un umbral y repetir mañana. Un valor de dos o tres desviaciones es raro; uno de seis ya no se explica por azar.

La cuenta es: lo medido hoy, menos la media, dividido por la desviación.

Responde para continuar

¿A cuántas desviaciones estándar por encima de su media está la salida de hoy de ese servidor?

En macOS, lo que se ejecuta solo al iniciar sesión vive en elementos de arranque (agentes y demonios de lanzamiento). En una flota gestionada, casi todos son iguales en todos los equipos: el agente de gestión, el sensor, la VPN. Lo que aparece en uno solo y sin firma de un desarrollador es candidato a persistencia.

El criterio del SOC de Chivor es doble: está en muy pocos equipos y ningún desarrollador identificado lo firma. Que esté en un solo equipo, por sí solo, no basta; que no tenga firma, tampoco, si lo tienen muchos equipos.

Responde para continuar

Escribe la etiqueta del elemento de arranque que cumple las dos condiciones: está en un solo Mac y no lo firma ningún desarrollador.

La línea base de un servidor incluye sus puertos en escucha. Un servidor de base de datos tiene pocos y siempre los mismos; un puerto nuevo, con un intérprete de scripts detrás, es lo que una persona no pone sin pasar por un cambio.

Se halla comparando la lista de hoy con la de la línea base de cada equipo, no con la de otro: un puerto normal en el servidor del portal puede ser una sorpresa en la base de datos.

Responde para continuar

Escribe el número del puerto que algún servidor tiene hoy en escucha y que no figura en su línea base.

Una métrica sin definición se discute para siempre. El MTTR se mide entre dos marcas concretas, se calcula por severidad y solo con los casos que ya llegaron a la segunda marca; un caso abierto no tiene todavía tiempo de contención y, si se cuenta como cero o se deja fuera sin decirlo, el promedio miente.

Aplica la definición del SOC tal como está escrita y no la que recuerdes de otro sitio.

Responde para continuar

¿Cuál es el MTTR, tal como lo define el SOC de Chivor y en minutos, de los casos de severidad alta de octubre?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que más se aleja de su costumbre Lab

2 Cuántas desviaciones Lab

3 El elemento de arranque que no tiene familia Lab

4 El puerto que antes no estaba Lab

5 Cuánto tarda el SOC en contener Lab

Whoami-Labs Pro utiliza cookies