Aceleración y su costo

La aceleración mantiene, por cada modelo, un resumen persistente que cubre un rango de resumen (cuánto tiempo hacia atrás). Con tstats, la opción summariesonly=true devuelve solo lo resumido, aunque el rango de la búsqueda pida más; con summariesonly=false (el valor por defecto) completa con datos crudos lo que el resumen no cubre, más despacio.

Para el ingeniero de detección esto es una decisión de diseño: true es rápido y barato, pero si el resumen está incompleto o atrasado la regla no ve lo que falta y no avisa.

Abre la tabla de modelos acelerados. Para decidir rangos conviene saber cuánto ocupa un día del resumen de cada modelo. El equipo usa una estimación lineal: el tamaño del resumen es proporcional a los días del rango. Calcula el costo por día del modelo de tráfico de red.

Un resumen cuesta disco y búsquedas de construcción aunque nadie lo use. La columna de búsquedas que lo usan dice cuántas búsquedas programadas leen cada modelo. Uno de los cinco está acelerado, ocupa cientos de GB y no lo lee ninguna.

Alguien propone pasar el rango de Network_Traffic de 90 a 180 días «para tener más historia». Con la estimación lineal del equipo, el resumen crecería lo que hoy ocupa. Mira la tabla de almacenamiento: queda en el volumen un espacio libre medido hoy.

Consulta cuántos días hacia atrás mira cada búsqueda programada sobre Network_Traffic. El resumen existe para esas búsquedas; la investigación manual de un analista puede leer datos crudos más antiguos sin resumen.