Señal o ruido, cuánto ruido esperar

Un valor que solo ocurre una de cada cien veces parece una buena señal. Pero si se mide cada entidad cada día, una flota de 500 cuentas durante 30 días ofrece 15 000 oportunidades, y ese uno por ciento se convierte en unos 150 casos sin que nadie haya hecho nada raro. La rareza individual no basta: hay que multiplicarla por el número de oportunidades.

Por eso el primer paso de cualquier umbral nuevo es medirlo sobre un mes que se sabe sin intrusión. Todo lo que dispare ahí es ruido, y esa cantidad es el costo diario de la regla.

Abre la consola. Ejecuta mes_limpio: una tabla con cuántas alertas dio cada umbral sobre 500 entidades en 30 días en un mes que el equipo de respuesta a incidentes confirmó sin intrusión. Todas fueron ruido. Mira la fila del percentil 99 de cada entidad.

Para decidir si un equipo puede atender una regla, la cifra que importa es cuántas alertas llegan por día. Divide las alertas del mes entre los 30 días y redondea al entero.

Dos señales que por separado son ruidosas, como un volumen alto y un destino nunca visto, ocurren juntas mucho menos. Si fueran independientes, la frecuencia de la combinación sería el producto de las frecuencias: casos con la primera, por casos con la segunda, entre el total de oportunidades. Ejecuta condiciones para ver, en el mes limpio, cuántas entidades-día cumplieron cada una y las dos juntas.

La cuenta de independencia da una referencia, no una verdad: en la realidad las señales suelen estar relacionadas (un servidor de copias hace las dos cosas a la vez) y la combinación aparece más veces de lo que la cuenta predice. Aun así, es mucho menos de lo que daban por separado.

La persistencia es otra forma de bajar el ruido: el ruido suele ser un día suelto y una conducta sostenida dura. En condiciones se ve que exigir tres días seguidos de volumen alto deja un puñado de casos en el mes limpio. Ejecuta candidatas_hoy para ver las entidades que hoy superan su percentil 99, con los días seguidos que llevan así y si hablan con un destino nunca visto.

Exige las tres cosas a la vez: volumen sobre el percentil 99, al menos tres días seguidos y destino nuevo. Varias candidatas cumplen una o dos; una sola cumple las tres.

Los pasos para dejar una regla estadística en servicio son siempre los mismos: elegir la medida de lo normal, medirla sobre un mes limpio para conocer su ruido, añadir una segunda señal o persistencia si el ruido es mucho para el turno, y escribir cuántas alertas por día se espera, para poder notar cuando cambia. Un umbral que se elige por intuición, o que se copia de otro entorno, no tiene un costo conocido.

Una regla estadística con su ruido medido no es una promesa de detectar algo; es un acuerdo con el turno sobre cuánto se va a atender.