Agrupar por similitud — el equipo que no encaja en su grupo

Para decidir si dos equipos se parecen hace falta una medida que cualquiera pueda repetir. La similitud de Jaccard compara dos conjuntos: cuenta cuántos elementos tienen en común y lo divide entre cuántos elementos distintos hay entre los dos juntos. El resultado va de 0 (nada en común) a 1, o de 0 a 100 si se expresa en porcentaje.

Aplicada a la caza, cada equipo es el conjunto de destinos a los que se conectó en la semana. Dos puestos de oficina que hablan con el correo, los archivos y el ERP tendrán una similitud alta; un puesto que habla con destinos que nadie más usa tendrá una similitud baja con todos. La cuenta se hace con listas, sin ningún modelo escondido, y por eso se puede explicar a quien revise el trabajo.

Abre la consola y consulta la tabla de destinos por equipo. Los equipos de planta hablan con el sistema de registro de procesos y con la telemetría del horno, además de algunos destinos comunes de la red. Para comparar dos equipos escribes sus listas, cuentas los destinos que aparecen en las dos y los destinos distintos que aparecen en alguna de las dos, y divides.

Haz el cálculo con cuidado: un destino que aparece en las dos listas cuenta una sola vez en el total de distintos. El resultado se escribe como porcentaje entero, sin el símbolo.

El convenio de la caza dice que dos equipos se juntan en un grupo cuando su similitud llega al umbral escrito en la tabla de parámetros. Con ese umbral, los equipos de oficina se agrupan entre sí y los de planta también. Queda un equipo cuya similitud con todos los demás se queda por debajo.

No hace falta calcular las veintiocho parejas: la segunda consulta muestra qué destinos usa un único equipo, y eso orienta hacia dónde comprobar. Luego se confirma con el cálculo de la pareja más parecida.

Que un equipo quede suelto no prueba que esté comprometido. Puede ser el puesto de alguien que acaba de llegar, un equipo en pruebas, una persona que trabaja con un proveedor nuevo. Lo que sí dice es que su conducta no se parece a la de sus compañeros, y eso justifica gastar tiempo en él antes que en los demás.

El paso siguiente es preguntar por la explicación legítima y buscar evidencia que la confirme o la descarte: quién usa el equipo, si hay una autorización para esos destinos, qué proceso abrió las conexiones. Si la explicación no aparece, la pista se convierte en hallazgo y se escribe.

Para dejar el hallazgo documentado se anota con qué equipo se parece más y cuánto. Si incluso su mejor pareja queda lejos del umbral, el equipo está de verdad aislado; si queda a un paso, el umbral merece una segunda mirada antes de sacar conclusiones.

Calcula la similitud del equipo suelto con cada uno de los equipos de oficina que tienen algún destino en común con él, y quédate con la mayor. Puede haber empates.