Por qué elegimos un intervalo de escaneo de 5 minutos (y no de 1 minuto)
Más rápido no siempre es mejor. Aquí está la matemática detrás de la latencia de detección, la huella del crawler y los compromisos con el presupuesto del cliente.
Los clientes preguntan con frecuencia si podemos escanear cada minuto o cada 30 segundos. La respuesta honesta es: sí, técnicamente es posible, pero no te convendría que lo hiciéramos.
El código malicioso moderno inyectado se activa bajo condiciones específicas de sesión. Escanear más rápido no hace que el código malicioso se active con mayor frecuencia — solo multiplica el número de escaneos vacíos que realizamos. Con un intervalo de 1 minuto consumiríamos 5× más recursos de cómputo sin detectar ni un incidente adicional en nuestro conjunto de datos de backtest.
Cinco minutos es el punto de inflexión donde el tiempo medio de detección (MTTD) se estabiliza. Por debajo de él, pagas más por rendimientos decrecientes. Por encima (15 min, por hora), el MTTD sube bruscamente para las familias de skimmers de movimiento rápido.
La frecuencia de cinco minutos también es lo suficientemente baja para que permanezcamos invisibles ante la lógica de seguimiento de sesiones del atacante. Los crawls más rápidos empiezan a parecerse a un bot de scraping y activan las propias comprobaciones anti-análisis del código malicioso.