Escenario — los decoders heredados que ya no coinciden

Ocho decoders y varios cambios en los sistemas que envían registros. Algunos decoders dejaron de decodificar eventos; no todos por el mismo motivo. Interesan los que dejaron de coincidir porque el formato de lo que se envía cambió, no porque el sistema dejó de existir.

El decoder padre de la familia del cortafuegos reconoce el nombre de programa que la cabecera de la línea traía antes de la actualización. Las muestras de la herramienta de prueba permiten ver qué pasa con las líneas nuevas: si el padre ya no coincide, ningún hijo se prueba.

Cada regla propia depende de un decoder. Cuando el decoder deja de coincidir, la regla se queda sin campos y sin eventos. Compara las alertas de cada regla en los dos periodos y fíjate solo en las que cayeron por el cambio de formato, no por el retiro de un equipo.

El número de alertas perdidas no mide lo que costó callar. Una regla que daba pocas alertas puede ser la que detectaba lo más grave. Entre las reglas que se quedaron sin ninguna alerta por el cambio de formato, interesa la de nivel más alto.

Tienes cuatro hallazgos: tres decoders del cortafuegos que no reconocen el formato nuevo, dos reglas propias del cortafuegos sin ninguna alerta desde el 19 de octubre, un decoder de impresoras que dejó de coincidir porque los equipos se retiraron, y cuatro decoders que siguen bien. Nadie se enteró en cuatro semanas.