Series de tiempo — la franja que no cuadra y el ritmo de reloj

Una serie de tiempo tiene estacionalidad: el volumen de conexiones de un equipo sube en el horario de trabajo, baja de madrugada y se parece mucho de un martes al siguiente. Comparar el martes observado con el promedio de toda la semana mezcla días de trabajo con fines de semana y hace que todo martes parezca alto. La comparación justa toma la misma franja del mismo día de la semana en las semanas anteriores.

Esa línea de base estacional se calcula con unas pocas semanas, y el estadístico que la resume es la mediana, para que una semana rara no la contamine. El resultado es una referencia por franja, no una sola cifra para todo el día.

Abre la tabla con las seis franjas del día. Las columnas sem_1 a sem_4 son cuatro martes de la línea de base y sem_5_observada es el martes que se investiga. Para la franja de la noche, la más tranquila del día, la referencia es la mediana de los cuatro valores anteriores.

Con cuatro valores, la mediana es el promedio de los dos centrales.

Compara cada franja del martes observado con la mediana de su línea de base. En casi todas la diferencia es de unas pocas conexiones, que es la variación normal. En una franja la diferencia es enorme respecto a lo que esa franja suele tener.

La segunda consulta muestra el total de cada día. Compárala con lo que ves por franja: el total del martes observado está apenas por encima de los totales anteriores, y por sí solo no habría llamado la atención.

Una persona genera conexiones a intervalos irregulares: lee, se distrae, vuelve. Un programa que llama a su destino cada cierto tiempo deja intervalos casi iguales, con una pequeña variación por el retardo de la red. El ritmo se mide con los intervalos: se restan las horas de conexiones consecutivas y se resume el resultado con la mediana.

Abre la tercera consulta, que lista doce conexiones consecutivas del martes observado hacia un mismo destino. Hay once intervalos entre ellas; la mediana es el valor del medio cuando están ordenados.

Que un destino reciba conexiones a intervalos fijos, con una variación de pocos segundos, descarta que lo esté haciendo una persona: es un programa. No dice qué programa. Un cliente de sincronización, un agente de gestión, un monitor de estado hacen lo mismo y son legítimos.

El paso siguiente es cruzar el ritmo con el proceso que abre las conexiones, el destino y la autorización del equipo. Solo ese cruce convierte un ritmo regular en hallazgo o lo descarta.