Colas y contrapresión

Una cola absorbe la diferencia entre lo que entra y lo que sale. Mientras no se llena, la ráfaga se disuelve sola. Cuando se llena hay tres caminos: descartar lo que llega, frenar a la fuente para que espere (contrapresión) o desbordar a disco, que ensancha la cola a costa de espacio y de velocidad.

No todas las fuentes aceptan que las frenen: un servidor que envía por syslog sobre UDP no sabe esperar, y uno con búfer local sí. Esa propiedad decide la política.

Abre cola_por_minuto. La profundidad sube cuando entra más de lo que sale y se detiene en el límite. Desde ese momento, lo que llega sin sitio se descarta. El minuto en que aparecen los primeros descartados marca el inicio de la pérdida, y es lo que una alerta de cola debería haber avisado antes.

Los eventos descartados no están en el SIEM ni en ninguna otra parte: si una detección los necesitaba, esa detección no los vio. La pérdida total es la suma de la columna descartados. Una cifra así acompaña a todo informe de incidente de la tubería.

Pasada la ráfaga, la cola solo baja por la holgura: lo que la salida puede mover por encima de lo que entra. Con la profundidad de las 10:09 y los datos de la tabla parametros, el tiempo para vaciarla es la profundidad dividida por la holgura por minuto.

Una cola que tarda en vaciarse retrasa la entrega de los eventos recientes mientras dura. Una regla con ventana corta puede mirar una ventana en la que sus eventos aún no llegaron. Lo que se hace en la tubería, entonces, también se mide en tiempo, no solo en volumen.