Líneas base de comportamiento

Una línea base es el comportamiento habitual de un equipo, de un segmento o de un servicio, medido durante un periodo suficientemente largo para incluir sus ritmos normales: el día de más carga, el fin de semana, el cierre de mes. No dice qué es bueno; dice qué es habitual. Una anomalía es una desviación respecto a esa medida, y una desviación puede ser un ataque o un cambio legítimo.

Por eso el periodo importa. Una semana corta puede no contener el cierre contable; un mes puede incluirlo.

Una forma sencilla de convertir la línea base en regla es fijar un umbral a cierta distancia de la media. Aquí se usa la media más tres veces la desviación: lo que supera ese valor se aparta de lo habitual lo bastante como para pedir una revisión. Cada equipo tiene el suyo, porque un servidor de archivos mueve cientos de megabytes sin que pase nada y una impresora no.

Calcula el umbral del servidor de archivos con su línea base de 28 días.

Comparar con un umbral propio evita dos errores. El primero es mirar solo el número más grande: el servidor de archivos envió más que nadie hoy y está dentro de lo suyo. El segundo es mirar solo el porcentaje de aumento: un equipo puede subir un cincuenta por ciento y seguir dentro de su margen.

Aplica el umbral de cada equipo a la medición de hoy.

La línea base se contamina cuando incluye días anormales. Si una restauración puntual, un incidente o una migración entra en el cálculo, la media sube, la desviación se ensancha y el umbral se vuelve tan alto que deja pasar lo que debería avisar. Se excluyen los días con una causa conocida y única, y se anota por qué.

Revisa los siete días del equipo de ventas y la nota de cada uno.

Una línea base envejece. Si la empresa cambia las cámaras por otras de mayor resolución, lo normal para ellas sube, y la medida de antes empieza a producir avisos que ya no significan nada. La respuesta no es subir el umbral a ojo: es documentar el cambio, esperar un periodo representativo con el equipo nuevo y recalcular.