Búsquedas de correlación

5 tareas · 40 min · Principiante

Una búsqueda de correlación es una búsqueda programada: corre cada cierto tiempo, mira una ventana y, si encuentra algo, deja un notable o un evento de riesgo. Lo que decide si vigila de verdad no es su lógica sino su programación: cada cuánto corre, qué tramo mira y cuánto espera a que lleguen los eventos tardíos. En la Aseguradora Brisas del Sinú cinco búsquedas tienen la lógica correcta y distintos fallos de programación. Los encuentras leyendo la tabla, sin ejecutar nada.

0 de 5 · 0%

Objetivo de la sala

Cada búsqueda tiene tres parámetros que se confunden: la frecuencia (cada cuántos minutos corre), el rango (cuántos minutos abarca su ventana) y el desfase del límite superior (cuánto se retira de «ahora»). La ventana buena es contigua a la anterior: sin tramos sin buscar y sin tramos buscados dos veces.

Los eventos no se indexan en el instante en que ocurren: hay un retraso entre la hora del evento y la de su indexación. Una ventana que termina en «ahora» no ve los eventos que llegan unos minutos tarde, y la ejecución siguiente ya mira otro tramo: el evento se pierde sin error.

Responde para continuar

Una búsqueda mira hasta «ahora» y su fuente se indexa con unos minutos de retraso. ¿Qué pasa con un evento que llega tarde?

Cae fuera de la ventana que ya corrió y de la siguiente, y no se detecta Splunk lo reindexa con la hora de llegada La ejecución siguiente lo recoge porque la ventana siempre se solapa con la anterior en unos minutos

Abre la tabla de programación. La política del equipo dice que el rango es igual a la frecuencia. Una de las cinco búsquedas mira menos tiempo del que pasa entre una ejecución y la siguiente, así que deja un tramo de cada ciclo sin buscar.

Responde para continuar

Escribe la regla cuya ventana es más corta que su frecuencia.

Ver pista de ayuda

Consulta `SELECT * FROM programacion` y compara `cada_min` con `rango_min`.

Con la regla de la tarea anterior, en cada ciclo hay un tramo que nadie mira: ahí un evento puede ocurrir y no ser detectado nunca. Calcula la duración de ese tramo.

Responde para continuar

Escribe cuántos minutos de cada ciclo quedan sin buscar en esa regla.

Ver pista de ayuda

Resta el rango de la frecuencia en la fila de la regla.

La segunda parte de la política: el desfase del límite superior debe ser al menos igual al retraso p95 de indexación de la fuente. Compara las dos columnas en las cinco reglas. Solo una tiene un desfase menor que el retraso que sufre su fuente.

Responde para continuar

Escribe la regla cuyo desfase no cubre el retraso p95 de su fuente.

Ver pista de ayuda

Compara `desfase_latest_min` con `retraso_p95_min` en `programacion`.

Otra regla tiene un rango mayor que su frecuencia: cada tramo se busca más de una vez, y el mismo evento puede crear notables repetidos. Una supresión por campos acalla los repetidos, pero el notable duplicado seguiría creándose en cada ejecución y solo se ocultaría después.

Responde para continuar

Para esa regla, ¿cuál es la corrección de fondo?

Bajar su severidad a informativa Igualar el rango a la frecuencia y dejar la supresión solo para lo que se repita Aumentar la supresión a una semana para que nadie vea los repetidos que sigue creando

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Frecuencia, ventana y eventos tardíos

2 La ventana más corta que la frecuencia Lab

3 Cuánto queda a oscuras Lab

4 La ventana que cierra antes de que lleguen los datos Lab

5 El solapamiento

Whoami-Labs Pro utiliza cookies