Más allá de arriba/abajo: Hay una mejor manera de definir ‘normal’ en infraestructuras complejas

Hemos avanzado mucho desde el monitoreo arriba/abajo. Desde las plantas de fabricación hasta la infraestructura empresarial moderna, los administradores de TI ahora requieren mucha más información que una simple comprobación para determinar si un sitio web o aplicación puede servir a los usuarios. Claro, es útil ver un estado básico “arriba” o “abajo”, pero esto no cuenta toda la historia de cómo la tecnología está entregando el valor empresarial esperado. Además, a medida que los entornos de TI y OT convergen y los ecosistemas se vuelven más dinámicos y efímeros, estas alertas no establecen ni reflejan con precisión las líneas base.

Entender qué es lo normal, aprender patrones de rendimiento y prevenir costosas interrupciones son funciones vitales en la infraestructura compleja de hoy en día. Esto es particularmente cierto a medida que los actores de amenazas utilizan herramientas cada vez más sofisticadas para hacer más con menos y la infraestructura interconectada moderna crea nuevas vulnerabilidades.

Es en este panorama que el monitoreo impulsado por IA transforma la gestión de infraestructura al ofrecer información sobre qué es y qué no es un comportamiento normal, eliminando así las malas líneas base y la fatiga de alertas. Exploraremos cómo este cambio de la lucha contra incendios reactiva a la prevención proactiva marca una evolución de monitoreo muy necesaria.

Descubriendo el nuevo normal

¿Qué es lo normal, de todos modos? Esta es una pregunta que los equipos de infraestructura que supervisan servidores, dispositivos de red, aplicaciones y bases de datos han estado haciendo durante décadas. ¿Por qué? Porque definir ‘normal’ es complejo y propenso a errores en entornos dinámicos y cada vez más distribuidos con diversos sistemas para monitorear. Encontrar la respuesta dependerá de sus patrones y tecnologías comerciales específicas. Además, dependerá de su tecnología y configuración de monitoreo, porque establecer umbrales estáticos no detecta muchos problemas. En su lugar, le dará una buena idea de cuándo algo está sucediendo que se espera, pero no ayudará a detectar problemas que no se esperan, lo que lleva a falsos positivos, fatiga de alertas y lagunas en la visibilidad.

Considere una planta de fabricación donde el tráfico aumenta repentinamente a las 2 PM un martes. El monitoreo tradicional podría activar una alerta porque supera un umbral preestablecido, pero ¿es esto realmente un problema? No hay forma de saberlo sin datos y diagnósticos más profundos. El aumento podría indicar actividad comercial legítima, como un nuevo horario de turnos o una producción aumentada para cumplir con un plazo. Alternativamente, podría señalar una amenaza de seguridad grave, como la exfiltración de datos o un sistema comprometido que envía señales a servidores de comando y control.

Es aquí donde la detección de anomalías impulsada por IA mejora la inteligencia del monitoreo de infraestructura. Este método emergente analiza continuamente los datos históricos para crear líneas base inteligentes que se ajustan automáticamente a las condiciones cambiantes. Este enfoque permite una alerta más proactiva que proporciona más tiempo para que los administradores de TI y los equipos de DevOps intervengan y mitiguen el problema antes de que tenga un impacto significativo.

El monitoreo del tráfico de red es un buen ejemplo de esto en acción. Los sistemas de monitoreo de infraestructura recopilan varias señales, incluidos registros y métricas. Un registro es un evento generado por un sistema, mientras que una métrica es una medida. Con el tiempo, estas medidas se recopilan y se representan como una serie de tiempo, similar a la temperatura medida a lo largo del día. Los datos recopilados para monitorear las condiciones de la red incluyen métricas como las tasas de paquetes de difusión de entrada y salida, el número de descartes y errores, y el rendimiento total del tráfico. Si algo está mal en comparación con el rendimiento regular, el monitoreo inteligente puede asegurarse de que se activen las alarmas correctas y se eviten los falsos positivos.

Como resultado, los equipos de infraestructura pueden centrarse en entregar valor empresarial en lugar de ajustar constantemente la configuración de alertas y luchar contra problemas que pueden no existir.

Evitando la duplicación de alertas

Duplicar el monitoreo puede introducir desafíos adicionales al crear más alertas. El monitoreo puede volverse desordenado con el tiempo a medida que los equipos agregan seguimiento para nuevos proyectos o crean monitoreo adicional al solucionar problemas o probar. Antes de que te des cuenta, lo que parecía una configuración de monitoreo limpia y simple puede convertirse en un laberinto sobrecargado de alertas espurias o redundantes que oscurecen más que iluminan los problemas.

Por ejemplo, los equipos de TI sometimes reciben alertas por un uso elevado de CPU, tiempos de respuesta de aplicación lentos y congestión de red desde el mismo servidor sobrecargado. Sin entender la correlación, los equipos podrían investigar tres problemas separados en lugar de la causa raíz única.

Las tecnologías de IA modernas, cuando se combinan con el monitoreo, transforman nuevamente este problema a través de la detección automática de configuraciones de monitoreo similares. Utilizando técnicas como matemáticas difusas y heurísticas, este enfoque analiza patrones de comportamiento y descubre correlaciones entre monitoreos similares para revelar interconexiones ocultas.

Esto es importante por dos razones principales. Primero, reduce el ruido de las alertas. En lugar de recibir tres alertas separadas por un problema, los equipos reciben una sola alerta con una comprensión clara de qué requiere atención y por qué. Segundo, elimina el monitoreo redundante. Esto ayuda a crear una configuración más manejable que simplifica los paneles y reduce la carga cognitiva.

El futuro del monitoreo inteligente

Otros desarrollos de redes y ciberseguridad también respaldan el caso para un monitoreo aumentado a medida que la complejidad continúa creciendo exponencialmente. Lo que antes eran redes industriales separadas y aisladas ahora están interconectadas con sistemas empresariales, creando entornos híbridos donde un problema de red puede afectar tanto las líneas de producción como las aplicaciones empresariales. Y estamos viendo esta convergencia en todo el stack moderno.

Los sensores de IoT industriales, los pasarelas de borde y los dispositivos de OT ahora se comunican junto con los protocolos de TI estándar. Cuando estos sistemas diversos experimentan problemas, los administradores requieren un monitoreo que pueda comprender las relaciones en todo el ecosistema en lugar de tratar cada uno como un silo separado. La vigilancia es innegociable, ya que una violación exitosa puede detener las líneas de producción, dañar equipos costosos y plantear riesgos de seguridad. De hecho, el tiempo de inactividad no planificado ahora cuesta a las empresas del Fortune Global 500 el 11% de sus ingresos anuales, lo que subraya que el costo del monitoreo inteligente es significativamente menor que el gasto de solución de problemas manual y la pérdida de productividad.

Mientras tanto, no hay escapatoria de que los hackers del otro lado del libro de ciberseguridad están utilizando esta tecnología como un avance de productividad para atacar a gran escala. Los modelos de lenguaje grandes y generativos (LLM) gratuitos o de bajo costo permiten a los hackers generar y modificar ataques a un costo mínimo. Y, con el tiempo, está claro que los actores maliciosos ven cada vez más la IA como un juego cambiador. Hoy en día, 7 de cada 10 creen que la tecnología y sus diversas herramientas mejoran el hacking, en comparación con solo 2 de cada 10 en 2023.

Hoy en día, los algoritmos de detección de anomalías se basan en matemáticas y estadísticas que han sido bien establecidas durante décadas. Esta tecnología funciona, pero la aparición y aplicación de la IA y los LLM en el monitoreo de métricas es un juego cambiador. Estamos viendo algunos de los primeros modelos de LLM basados en series de tiempo que llegan al mercado y podemos esperar que esto transforme la detección de anomalías en los próximos dos años. Varios de estos nuevos modelos están mostrando una excelente precisión y avances.

La elección ahora recae en los equipos de TI y operaciones sobre cómo supervisar mejor sus ecosistemas y contrarrestar las amenazas. La buena noticia es que la detección de anomalías automatizada y el monitoreo de líneas base pueden ayudar a proteger mejor los activos mientras aprenden, se adaptan y optimizan, lo que a su vez permite una planificación de capacidad y optimización de recursos más efectivas. Las comprobaciones básicas de arriba/abajo todavía son valiosas, pero cuando un solo problema puede propagarse a través de los sistemas de TI, OT e IoT, necesitamos un contexto inteligente sobre esa base. Los defensores de la infraestructura pueden enfrentar el momento aumentando su visibilidad en consecuencia.