Rendimiento, pérdidas de paquetes y capacidad

Los contadores capture.kernel_packets y capture.kernel_drops dicen cuántos paquetes entregó el núcleo al motor y cuántos descartó antes de entregarlos. Un paquete descartado no pasa por ninguna regla: no genera alerta, no deja evento, y no hay manera de saber lo que llevaba.

Hay otros indicadores del mismo problema: tcp.reassembly_gap, que cuenta huecos en el flujo TCP y idealmente es cero, y las pérdidas en la propia tarjeta, que se ven con las estadísticas de la interfaz del sistema operativo porque ocurren antes de que el motor las cuente. El archivo stats.log se escribe por defecto cada 8 segundos.

El número absoluto de paquetes perdidos dice poco sin el total que llegó. La proporción es lo que se compara entre horas y entre sensores: kernel_drops dividido entre kernel_packets, por cien. Un sensor que pierde unos pocos miles de paquetes entre millones está bien; uno que pierde millones en una hora no.

Consulta contadores y calcula el porcentaje de pérdida de la hora con más pérdidas, con un decimal.

Las pérdidas rara vez son parejas: se concentran en ventanas en las que el tráfico se dispara o el equipo se carga. Encontrar la ventana es el primer paso para encontrar la causa; mirar el promedio del día la esconde.

Consulta contadores y busca la hora donde kernel_drops es mayor.

Las causas más comunes de una ráfaga de tráfico en la madrugada son tareas programadas: respaldos, sincronizaciones y copias. Si la ventana de pérdida coincide con una de ellas, el hallazgo no es «el sensor está mal» sino «el sensor no está dimensionado para el tráfico de esa tarea», y la solución es de capacidad o de dónde se mira, no de reglas.

Consulta tareas_programadas y cruza las horas de inicio y la duración con las horas de pérdida.

Cuando un sensor pierde paquetes, el silencio de sus alertas en esa ventana no es una buena noticia. Tampoco hay que correr a apagar reglas: quitar reglas no corrige la pérdida, que ocurre antes. Primero se dimensiona —más hilos, más núcleos de CPU, un enlace o una copia del tráfico menos cargados— y después se vuelve a medir con los mismos contadores.