Dokümantasyon

Kimsenin aramayı akıl etmediği değişiklikler.

Buradaki her şey kendi geçmişiniz üzerinde aritmetiktir. Hiçbir model devrede değil ve hiçbiri anahtar istemiyor.

Alışılmışın dışında olan

Bir SIEM, daha önce hiç konuşmadığı bir sunucuya bağlanan adresi gözler. Uygulama değişikliklerinde aynı şeyi kimse gözlemez, çünkü her satırında aktör bulunan tiplenmiş değişiklik geçmişi başka kimsede yok. "10.0.4.7 yeni bir sunucuya bağlandı" bir log satırıdır. "svc-payroll on bir ayda ilk kez hr.payslip kaydına dokundu" ise birinin bu sabah cevaplayacağı bir sorudur.

Reldavi günlük özetin yanında hesap bazlı bir özet tutar ve her hesabı kendi geçmişiyle karşılaştırır. Günde beş yüz satır yazan bir servis hesabı da haftada üç şey değiştiren bir kişi de normaldir; tek bir eşik birinde gürültü, diğerinde körlüktür.

Hiç dokunmadığı bir kayıt türü	Asıl değerli bulgu. Aylardır tek bir iş yapan ve birden bordro okuyan bir hesap, ya kimsenin söylemediği bir değişikliktir ya da izin var olma sebebidir.
İlk silme, kendi başına	Diğerlerinden ayrı ve kaynak türü başına değil hesap başına raporlanır. "Bu hesap silmeye başladı" tek bir olgudur; beş kez söylemek onu kendi içinde boğardı.
Her zamankinden çok daha fazlası	Kendi ortancasına göre ve altında bir taban ile — olağanı bir olan birinin on iki katı, biraz daha yoğun bir salıdır, kanıt değil.
Diyebilecek duruma gelene kadar "ilk kez" demez	Özet, kiracı başladığında değil kendisi kurulduğunda başlar. Bu ifadenin arkasında üç haftalık geçmiş olana kadar sayfa hâlâ öğrendiğini ve ne kadar geriyi hatırladığını söyler. Bir yükseltmenin ertesi sabahı her hesabı yeni ilan eden bir dedektör, bir daha açılmayan bir dedektördür.

Model değil, aritmetik — buradaki her bulgu bir küme üyelik testi ya da karşılaştırılmış iki sayıdır. Her biri bir filtre taşır; yani bulgudan arkasındaki olaylara bir tık, bundan sonra aynı şeyi izlemeye bir tık daha vardır.

Saklama sapması

Saklama politikası iki yönlü bir sözdür ve herkes yalnızca bir yönünü izler. Bu alandaki her ürün zamanı gelince siler. Hiçbiri size takvimin durduğunu söylemez ve hiçbiri saklamakla yükümlü olduğunuz kayıtları başka bir şeyin sildiğini söylemez.

İkincisi, bir denetimi bitiren bulgudur ve bugün onu siz değil denetçi buluyor. Reldavi beyan ettiğiniz saklama süresiyle izinizin gerçekte tuttuğu geçmişi, sayfayı her açtığınızda karşılaştırır ve ikisinin nerede ayrıldığını söyler.

Erken giden kayıtlar	Ciddi olanı, omuz silkmeyle değil sayıyla raporlanır. "Özetin hatırladığı 1.328 bordro olayı artık depoda yok — üstelik yedi yıl olarak beyan ettiğiniz pencerenin içinde" cümlesi, bu sabah harekete geçilebilecek bir cümledir.
Süresini aşıp kalan kayıtlar	Süpürme durmuş ya da sessizce başarısız oluyor. Bu olmasa size bunu söyleyecek tek şey, bir süre sonra gelen depolama faturası olurdu.
Hukuki muhafaza bir açıklamadır, istisna değil	Açık bir dosya için tutulan tür zaten süresini aşmalıdır; o yüzden raporlanmaz. Raporlamak, birine önemli olduğu tek günü de görmezden gelmeyi öğretirdi.
Kiracı varsayılanıyla giden türler	Hata değil — hatırlatma. Varsayılan, neyi kaydedeceğinizi kimse bilmeden seçildi ve "bordro, oturum kadar saklanır" kimsenin bilerek verdiği bir karar değildir.

Birincisini tespit edilebilir kılan şey günlük özettir. Süresi dolmuş bir ayı düşürmek özetini de birlikte götürür; yani sağlıklı bir sona erme raporlanacak bir şey bırakmaz. Ama tek bir kaynak türünü erken silmek yalnızca olaylara dokunur ve özet, o kayıtların kapsadığı günleri hatırlamaya devam eder. İkisi arasındaki boşluk, bulgunun kendisidir.

Model değil, aritmetik. Buradaki her bulgu karşılaştırılmış iki sayıdır; bir dil modelinden çıkmış uyum bulgusu, içinde düzenleyici bulunan bir odada kimsenin savunamayacağı bir bulgudur.

Hiçbir şeyin eksik olmadığını kanıtlama

Her denetim ürünü elinde ne olduğunu söyleyebilir. Hepsinin bir anlam taşıyıp taşımadığına karar veren soru ise diğeridir: hiçbir şeyin eksik olmadığını nereden biliyorsunuz? Karşılaştırma tablosundaki tek gerçek yanıt bizimki ve bir güvence değil, bir sayı.

Gönderen her süreç kendini tanıtır ve partilerini birden başlayarak numaralandırır. Platform hangi numaraların ulaştığını izler; böylece 4.399 numaralı partinin gönderilip hiç ulaşmadığını söyleyebilir — 4.398 parti görüp daha fazlası olması gerektiğinden habersiz kalmak yerine.

Yeniden deneme kayıp değildir	Parti yeniden gönderildiğinde numarasını korur; aynı numaranın iki kez gelmesi yinelemedir. Yeniden denemeleri boşluk saymak, sağlıklı her üreticiyi bozuk gösterirdi.
Geç gelen parti kendi boşluğunu kapatır	Yenileri başarılı olurken bir partinin başarısız olması olağan durumdur, istisna değil. Ulaştığında boşluk kapanır ve sayı düşer.
Sessizlik ayrıca izlenir	Uçuş ortasında ölen bir süreç yeni numara göndermez; dolayısıyla sayılacak boşluk bırakmaz. "web-02 bir ay boyunca saatte dört yüz gönderdi ve 14:09’dan beri hiçbir şey göndermedi" ayrı bir bulgudur ve genellikle asıl olay odur.
Kopyalar ayrı sayılır	Tek bir sunucu adının arkasındaki üç kopyanın her biri kendi sayacını tutar. Onları tek üretici saymak, her üç partiden ikisini kayıp bildirirdi.

Hiç ulaşmayan parti sayılı kalır. Bir süre sonra toplamdan sessizce düşmez — kendi kendine aşağı kayan bir eksiksizlik rakamı, hiç rakam olmamasından kötüdür; çünkü biri ona dayanarak karar verir.

Sormanıza gerek kalmadan haber alırsınız. Haftalardır gönderen bir üretici durursa, ne kadar süre çalıştığı ve ne zaman durduğuyla birlikte özetin kullandığı kanallara ulaşır — çünkü "web-02 altı hafta çalıştı ve 14:09’da sustu" üzerine iş yapılabilecek bir bilgidir, "bir üretici sessiz" ise değildir.

Ayarlar → Kapsama sayfasında görünür ve bir delil paketinin arkasında durması gereken şey budur: bu paket, tespit edilmiş boşluğu olmayan bir dönemi kapsıyor. Numara göndermeyen eski bir SDK’daki üretici, eksiksiz bildirilmek yerine listeye alınmaz.

Sırada ne okunur

Bir yerde takıldınız mı?

Şema, SDK kaynakları ve mimari notların tamamı açıktır. Bir şey belirsizse, bu bizim dokümantasyonumuzdaki bir hatadır. Bize yazın.