Lo nuevo y lo fuera de patrón

Una captura se compara con la línea base fila a fila, y las diferencias se agrupan en tres clases. Par nuevo: dos equipos que nunca habían hablado. Ritmo roto: el par es conocido, pero la conversación se comporta distinto, por ejemplo una ráfaga sin pausa donde antes había una consulta cada pocos segundos. Sentido invertido: abre la conversación quien siempre había respondido.

Ninguna prueba un ataque; las tres son preguntas. Un mantenimiento, un cambio de configuración o una actualización producen las tres con la misma facilidad. Lo que las distingue de lo normal es solo que no estaban.

En la captura de la mañana hay una conversación en la que el origen es un controlador y el destino es un servidor de la oficina. En la línea base, ningún controlador abre conversaciones hacia la oficina: los controladores responden. Es la clase de sentido invertido, y el ID de la fila de captura es lo que se cita al preguntar por ella.

Lo importante no es lo que el sensor dice, sino lo que no dice: no sabe por qué el controlador abrió esa conversación. Que lo hiciera una actualización de la configuración o un equipo que se ha comportado mal, la captura es igual.

Dos filas de la captura son pares que no estaban en la línea base. Una cae dentro de una ventana de mantenimiento aprobada: el equipo y la hora coinciden con la orden de trabajo, y queda explicada. La otra es un puesto de la oficina consultando a un controlador de la planta, sin ventana, sin orden y sin ninguna fila de la línea base que la ampare.

El dato que se cita en el informe es el origen: quién empezó la conversación, tal como lo registró el sensor. No se dice quién estaba al teclado ni por qué: eso lo responde después el dueño del equipo.

La tentación al ver una columna de diferencias es abrir una alerta por cada una. Pero una conversación nueva que coincide con una ventana aprobada tiene explicación, y abrir una alerta por ella cansa a quien las lee y gasta su atención en lo que sí merece una pregunta. Lo explicado se anota, se asocia a su orden de trabajo y se archiva; lo que ninguna fuente de la casa explica se pregunta.

La regla de trabajo es preguntar siempre con una fuente delante: la ventana, el cambio aprobado, el inventario. Una diferencia sin fuente que la explique es una pregunta para el dueño, no una acusación.