Retraso, volumen y costo de la ingesta

Una detección con ventana de cinco minutos agrupa los eventos de los últimos cinco minutos. Si los eventos de su fuente llegan, en el peor caso habitual, veinte minutos después de ocurrir, cuando la regla los ve ya salieron de la ventana: nunca coinciden con el resto. La regla está en producción, no da error y casi nunca salta.

El retraso se resume con la mediana (p50) y con un percentil alto (p95), que describe la cola. La comparación honesta es la ventana de la regla frente al p95 de su fuente, no frente a la mediana.

Consulta las tablas retraso y reglas. Ojo: los retrasos están en segundos y las ventanas en minutos.

El costo de ingesta crece con el volumen. Con una tarifa por gigabyte, el costo mensual de una fuente es: gigabytes por día × tarifa × días del mes. La tabla tarifa trae los tres datos del cortafuegos; la tarifa es ficticia, de este ejercicio.

El cortafuegos manda tres clases de evento. Los de tráfico permitido son la mayoría (tres millones y medio de cinco al día), así que filtrarlos ahorraría casi tres cuartas partes de su costo. Antes de hacerlo hay que cruzar con las reglas: una regla que lee eventos permitidos dejaría de ver todo.

Consulta las tablas composicion_cortafuegos y reglas; la columna campo_clave dice qué clase de evento lee cada regla del cortafuegos.

La regla de la tarea 1 está ciega por retraso y su fuente no va a llegar antes. Hay varias salidas, y no todas son honestas: ampliar la ventana cambia lo que la regla detecta; medir el retraso de forma continua y avisar cuando crece protege a todas las reglas de esa fuente.