Detectar, prevenir o solo informar

En detección, la regla avisa y el tráfico sigue. En prevención, la regla descarta el paquete —solo es posible si el sensor está en línea— y además avisa. En solo informe, a veces llamado modo de prueba o de simulación según el producto, la regla se evalúa y se cuenta, pero no corta ni sube a la cola de alertas: sirve para medir qué haría la regla antes de dejarla actuar.

El orden habitual es de menos a más riesgo: primero solo informe, luego detección y por último prevención, y solo para las reglas que ganaron esa confianza con datos. Pasar una regla directo a prevención sin haberla visto operar es apostar con el tráfico de los clientes.

La empresa escribió su criterio: un mínimo de días en prueba, ningún falso positivo y un mínimo de coincidencias, para que el resultado no sea casual. Una regla que casi no coincidió no demuestra nada: puede estar bien, o puede no estar mirando.

Consulta criterio y prueba, y mira cuáles de las cuatro reglas en prueba cumplen las tres condiciones. Solo una pasa.

Todo sensor en línea tiene una decisión escrita sobre su caída: si se abre (el tráfico sigue sin vigilancia) o se cierra (el tráfico se corta). Ninguna es la correcta de por sí: depende de qué servicio pasa por el tramo y de quién aprobó el riesgo.

Consulta fallo_del_sensor. Para el sensor en línea, la tabla dice qué pasa con el tramo y qué servicio atraviesa.

El inventario del modo de cada regla es lo que permite contestar la pregunta del auditor: qué reglas pueden cortar tráfico hoy. Se responde contando, no recordando.

Consulta politica_de_modos y cuenta las reglas en modo prevención.

Un sensor que se cae ante una falla puede dejar pasar o cortar. Para un tramo por el que pasa el servicio con que los clientes compran, cortar significa que nadie compra hasta que alguien repare; dejar pasar significa horas sin vigilancia. La política debe decir cuál de las dos acepta la empresa, quién lo aprobó y qué se hace durante ese tiempo.