El reloj, medido a mano

Un programa que espera órdenes rara vez llama cada 300 segundos exactos, porque una regla que busque «el mismo intervalo» lo encontraría enseguida. Suele esperar un tiempo base y sumarle o restarle un margen al azar: el jitter. Con una base de 600 s y un margen del 10 %, las llamadas caen entre 540 y 660 s.

Desde el lado del cazador la pregunta se invierte: dados los intervalos que quedaron escritos, ¿cuánto se apartan de su centro? Una forma sencilla de estimarlo es tomar la mitad de la diferencia entre el intervalo más largo y el más corto y compararla con la media: (máximo − mínimo) / 2 dividido entre la media, por cien. No es un estándar ni la única medida, es una estimación del margen que el programa se da.

Que haya margen no lo salva: sigue siendo un reloj. Lo que ninguna persona produce es un margen pequeño y sostenido durante horas.

Abre SELECT * FROM par_a. Son diez conexiones seguidas de un puesto a un mismo destino, de madrugada. La columna intervalo_s trae los segundos desde la conexión anterior del mismo par. Para tener el centro del reloj basta sumar los diez intervalos y dividir entre diez.

Anota la suma, porque la vas a usar de nuevo: la media es el denominador de cualquier medida de dispersión relativa.

Con la media a mano, calcula el margen de ese par: el intervalo más largo menos el más corto, entre dos, dividido entre la media y por cien. El resultado es un porcentaje que puedes comparar entre pares y entre días, que es lo que hace útil una cifra frente a «parece regular».

Una regla razonable no fija el umbral a ojo: lo ajusta con los datos de la propia empresa, mirando qué porcentaje tienen los relojes legítimos que ya conoce. El número solo te dice cuánto margen se da el programa, no si es malicioso.

Ahora compara con el par B (SELECT * FROM par_b). Una persona que lee y hace clic produce ráfagas de segundos separadas por pausas largas, y cada petición pesa distinto porque pide cosas distintas. Un programa que repite la misma pregunta envía lo mismo cada vez.

Por eso, además del reloj, se mira el tamaño del envío: una sola cifra repetida en cada llamada es una pista más fuerte que el intervalo, porque el jitter del intervalo se puede configurar y el contenido de una consulta de «¿hay algo para mí?» suele ser fijo.

Una baliza casi siempre recibe la misma respuesta corta, algo como «nada nuevo». Cuando una respuesta pesa mucho más que las demás, el servidor tenía algo para ese equipo, y ese instante es el que va a la línea de tiempo del caso para mirar qué pasó en el equipo justo después.

Eso se hace con la columna resp_bytes, no con los intervalos.