Capítulo 17 — Fundamentos de controle e realimentação

Mapa da aula

Aula 17 publicada. Mapa, exemplo, EX049.

flowchart TD
  N0["17.1 Malha"]
  N1["17.2 Estabilidade"]
  N2["17.3 Manual vs. automático"]
  N3["17.2b Escolhendo o intervalo de amostragem"]
  N4["17.3b Onde colocar a pessoa na malha"]
  N5["17.1b Pontos de ajuste e deriva"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX049"]

Desenho lógico

flowchart LR
  N0["17.1 Malha"]
  N1["17.2 Estabilidade"]
  N2["17.3 Manual vs. automático"]
  N3["17.2b Escolhendo o intervalo de amostragem"]
  N4["17.3b Onde colocar a pessoa na malha"]
  N5["17.1b Pontos de ajuste e deriva"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX049"]

[17.1 Malha]
    |
    v
[17.2 Estabilidade]
    |
    v
[17.3 Manual vs. automático]
    |
    v
[17.2b Escolhendo o intervalo de amostragem]
    |
    v
[17.3b Onde colocar a pessoa na malha]
    |
    v
[17.1b Pontos de ajuste e deriva]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX049]

Objetivos de aprendizagem

Você vai (1) modelar uma malha de controle em torno das ferramentas de avaliação; (2) escolher sensores e atuadores; (3) evitar a realimentação instável (tempestades de alertas).

17.1 Malha

Sensor: contagem de sondagens fora do escopo por hora. Controlador: comparar com o limiar 0. Atuador: negação rígida do TrackScope e acionamento do líder. Planta: o engajamento. Sem o sensor, você só descobre as quebras de escopo no relatório final. O limiar zero significa que qualquer sondagem fora do escopo já é uma quebra da promessa, não um aviso leve. Acionar o líder fecha a malha enquanto a janela ainda está aberta, quando parar e notificar ainda ajudam. Sem uma contagem por hora, o relatório final vira o primeiro sensor, o que é tarde demais para o cliente. Sam plota a contagem ao vivo ao lado do log de negações, para que um pico fique óbvio.

17.2 Estabilidade

Se cada achado médio aciona a empresa inteira, as pessoas silenciam o pager (fadiga de alertas). O roteamento por severidade e os limites de taxa das notificações são o amortecimento. O laboratório de taxa de base (Capítulo 7) é a mesma ideia aplicada a detectores. O amortecimento mantém o sinal útil. Achados médios vão para a fila da equipe dona; só condições de parada e eventos críticos de segurança acionam todo mundo. Limites de taxa impedem que um sensor oscilante acorde a empresa a cada minuto. Vale a mesma lição do trabalho com taxas de base: um detector que grita o tempo todo acaba desligado.

17.3 Manual vs. automático

Negações rígidas de hosts da lista de exclusão podem ser automáticas. Mudar a ROE no meio do engajamento precisa continuar manual e assinado. Coloque a automação na malha interna; mantenha as pessoas na malha externa. A negação automática é rápida o bastante para parar uma sondagem ruim no mesmo segundo. Uma mudança de ROE no meio da janela altera o que é legal, então precisa de uma assinatura e de duas pessoas. Traçar essa linha na revisão de design evita discussões durante o engajamento. O runbook de Sam diz qual classe de mudança é qual.

Caso sintético — Riverstone Transit. Depois do toque na lista de exclusão às 11:10, Sam acrescentou um sensor: qualquer acerto na lista de exclusão aciona o líder em até um minuto. Acionamentos falsos em uma semana: zero.

17.4 Erros e limites

A realimentação pressupõe que o sensor é honesto. Um logger quebrado parece um sistema tranquilo. Monitore os sensores com heartbeats. Um logger silencioso pode esconder uma enxurrada de negações ou fingir que nenhuma ocorreu. Os heartbeats provam que o sensor ainda reporta, mesmo quando a contagem fica em zero. Sam aciona alertas para heartbeats ausentes com a mesma urgência que para um pico real, porque ambos significam que a malha está cega. Ele verifica o caminho do heartbeat em staging antes de cada janela de engajamento abrir e guarda no dossiê uma captura de tela da verificação verde.

17.2b Escolhendo o intervalo de amostragem

Um sensor que amostra uma vez por hora pode perder uma rajada de cinco minutos fora do escopo. Amostre pelo menos duas vezes mais rápido que a menor janela de condição de parada que você prometeu ao cliente. Se o kill switch precisa agir em 30 segundos, consulte a cada 10–15 segundos. O custo é baixo comparado com explicar uma parada perdida no relatório. O raciocínio ao estilo de Nyquist se aplica: amostre mais rápido que o evento que você precisa pegar. Dez a quinze segundos deixam margem para discos lentos e líderes ocupados. Sam registra o intervalo escolhido ao lado do texto da condição de parada, para que os auditores vejam que eles batem.

17.3b Onde colocar a pessoa na malha

Coloque pessoas onde é preciso julgamento sobre autorização; coloque automação onde o atraso é perigoso. Aprovar uma ampliação de escopo é humano. Negar um host da lista de exclusão é automação. Misturá-los — esperar que uma pessoa aprove uma negação — recria o incidente que o controle deveria evitar. O julgamento sobre permissão não pode ser apressado num script; o atraso numa negação, sim, pode ser eliminado. Esperar que uma pessoa aprove um acerto na lista de exclusão é o caminho pelo qual o tráfego fora do escopo continua. A lista de verificação de revisão de design de Sam pergunta, para cada controle, se o atraso ajuda ou atrapalha, e coloca a pessoa só onde ele ajuda.

17.1b Pontos de ajuste e deriva

Escreva o ponto de ajuste ao lado do sensor ("sondagens fora do escopo por hora = 0"). Revise os pontos de ajuste quando o cliente mudar as janelas ou quando os acionamentos falsos passarem de uma taxa combinada. Pontos de ajuste sem revisão derivam para alarmes ignorados. Um ponto de ajuste que ninguém revisita vira folclore. Mudanças de janela do cliente e orçamentos de acionamentos falsos obrigam a um novo olhar. Escrever o número ao lado do sensor impede que os operadores inventem um limiar particular. Sam revisa os pontos de ajuste no kickoff e depois de qualquer semana que tenha estourado o orçamento de acionamentos falsos, e escreve o novo número na configuração do sensor na mesma mudança.

Exercícios

• EX049 — Desenho da malha. Nomeie sensor, limiar e atuador para violações de SLA. Rubrica: 3 = os três coerentes; 2 = dois; 1 = um; 0 = nada.
• EX050 — Fadiga. Dê uma regra de amortecimento para as notificações de achados. Rubrica: 3 = regra específica (lote, severidade, taxa); 2 = vago, "não faça spam"; 1 = nada útil; 0 = nada.
• EX051 — Fronteira manual. Qual mudança não pode ser automatizada no meio do engajamento? Rubrica: 3 = ampliação de ROE/escopo, com o motivo; 2 = parcial; 1 = errado; 0 = nada.

Síntese

Medir, comparar, agir — com pessoas na autorização e máquinas na imposição.

Continue estudando — capítulo 17 de 50

← Capítulo 16 (rascunho) · Índice de capítulos do curso · Capítulo 18 (rascunho) →