La primera y la última vez en los flujos

Para decir desde cuándo un equipo habla con un destino hay que saber, antes, con quién hablaba. Esa es su línea base: los destinos de una semana normal. Un destino que no está en ella no es culpable por serlo —puede ser un servicio nuevo que nadie anotó—, pero es la pregunta que abre la ventana de investigación, y se contesta con los flujos de los días anteriores.

La fecha de la alerta no vale para eso. La alerta es el día en que alguien lo vio, y llega tarde por construcción: el que se lleva datos hace ruido cuando termina, no cuando empieza.

La consulta de resumen por destino devuelve, para cada uno, el primer día y el último con flujos, cuántos días distintos hubo y cuántas conexiones. Con eso se lee la historia de un destino en una fila. Tres de los destinos de tor-pc-adm07 están en todos los días laborables desde el 1 de marzo; los otros dos aparecen más tarde.

Con la primera fecha y la de la alerta se mide el tiempo que el equipo estuvo hablando sin que nadie lo viera: es lo que los informes llaman permanencia. Ojo con dos cuentas que no son la misma. Los días transcurridos son la diferencia entre las dos fechas; los días con flujos son los que tuvieron al menos una conexión, y la tabla trae esta segunda cifra porque es la que da una consulta de agrupar por día. Para decir cuánto tiempo estuvo dentro, vale la primera.

Un ejemplo con otros números: entre el 3 y el 12 de un mes pasaron nueve días aunque un equipo apagado los fines de semana solo tuviera seis días con flujos.

Cuando una dirección cambia, un solo equipo parece dos. Contar las direcciones de origen que hablan con el destino da una cifra que sobreestima el alcance, y decir «tres equipos» cuando eran dos manda a investigar a un compañero que no tiene nada. Lo que identifica a un equipo es su tarjeta de red, y el DHCP anota qué MAC tuvo cada dirección entre dos horas.

Hay que unir tres cosas: la dirección y la hora del flujo, la zona del DHCP (los flujos están en UTC y las concesiones en hora local), y la MAC. La hora de la primera y de la última conexión de cada origen está en la tabla para que puedas comprobar a qué concesión cae cada una.

Cada equipo tiene su propia fecha de inicio: el que habló antes tiene una ventana más larga, y el que apareció después se investiga desde el suyo. Usar una sola fecha para los dos tiene dos defectos. Si es la más tardía, se pierde lo que el primero hizo antes; si es la más temprana, se atribuye al segundo lo que ocurrió cuando todavía no hablaba con el destino. Y la alerta no es fecha de nada: en las dos ventanas se mira hacia atrás desde el primer contacto de cada uno y hacia adelante hasta el aislamiento.