La hipótesis por escrito

Una hipótesis de cacería es una frase que puede salir falsa. Si ningún resultado la desmiente, no se está cazando: se está mirando. Una forma de escribirla que funciona en el turno:

Si [una conducta] ocurrió en [un alcance], habrá [un rastro concreto] en [una fuente] durante [una ventana de tiempo]; se descarta si [criterio].

Fíjate en lo que obliga: la conducta es algo que alguien hizo (no «hay un intruso»), el rastro es algo que una consulta puede encontrar, la fuente es una tabla que existe y la ventana dice cuántos días se miran. Los tres fallos más comunes son la hipótesis demasiado ancha («hay algo raro»), la irrefutable («si no se ve nada es que está bien escondido») y la sin datos (habla de una conducta que ninguna fuente muestra).

El equipo dejó cuatro borradores en la tabla hipotesis_borrador, cada uno ligado a su punto de partida en origenes. Se escribieron con prisa. Léelos con la pregunta de la tarea anterior: ¿qué tendría que verse en los datos para decir que la hipótesis es falsa? La columna se_descarta_si responde justamente eso.

Uno de los cuatro es peor que vago: enuncia que seguirá vigente aunque la búsqueda salga vacía. Ese no es un borrador flojo, es uno que ninguna búsqueda puede contestar.

Una cacería nace de tres sitios y cada uno pide un cuidado distinto. De la inteligencia (un aviso de fuera): la conducta que describe hay que traducirla a lo que tu red registra; copiar los valores del aviso es otra cosa, un barrido de indicadores. Del hueco de cobertura (algo que ninguna regla mira): se parte de lo que se sabe que no se vigila, y se prioriza por el daño que haría. De la anomalía (un número que se movió): lo primero no es perseguirla sino descartar la explicación benigna, porque casi todo lo que se mueve en una empresa tiene un motivo ordinario, un cambio aprobado, una copia, una temporada.

La anomalía es el comienzo de una pregunta, no una hipótesis. Formular una hipótesis de intrusión sin haber mirado antes los cambios aprobados es construir una cacería sobre algo que quizá tiene dueño y fecha.

Vuelve a origenes: el tráfico nocturno de salida del servidor de la báscula pasó de 120 MB a unos 4 GB desde el 20 de febrero. Antes de escribir la hipótesis de cacería sobre ello, la tabla cambios_aprobados dice qué se tocó en los equipos de la empresa. Un cambio explica una anomalía cuando coinciden tres cosas: el equipo, la fecha de comienzo y el orden de magnitud del volumen.

Un cambio que lo explica no demuestra que no haya nada más; deja sin sostén la hipótesis de partida y libera tu tiempo para una pregunta mejor.