Zusammenfassung

  • Der NMOP-Entwurf organisiert Erkennung, Validierung und Verfeinerung, doch ein bestätigter Zustand verleiht nicht automatisch Befugnis zur globalen Wiederverwendung.
  • Ein Broker-Verweis nennt eine logische Quelle, ist aber ohne Snapshot, Schema, Abfrage und Zeitfenster kein unveränderlicher Beleg.
  • Revision, Entscheidungsvollmacht, Widerspruch, Verbraucher, unabhängige Auswertung und Rücknahme müssen zusammen mit dem Label erhalten bleiben.

Derselbe Name, andere Evidenz

Ein Validator öffnet die im Label genannte Broker-Quelle und bestätigt eine Anomalie. Monate später untersucht ein anderer die Entscheidung. Topic und Subject lösen weiterhin auf, doch die alten Ereignisse sind kompaktifiziert, der Produzent liefert ein neues Schema und die Einheit hat sich geändert.

Der Verweis ist nicht kaputt. Er beantwortet nur nicht mehr die historische Frage. Ohne Hash, Abfrage und Beobachtungsfenster kann niemand beweisen, welche Werte die erste Entscheidung trugen.

Revision 07 des NMOP-Entwurfs An Experiment: Network Anomaly Detection Lifecycle ist vom 6. September 2026 und läuft am 10. März 2027 ab. Sie hat beabsichtigten Status Experimental, ist ein aktives Working-Group-Internet-Draft und kein RFC. Sie beschreibt Detection, Validation und Refinement, einen Label Store, eine Zustandsmaschine und YANG-Modelle.

Der Entwurf macht wechselndes Verständnis explizit. Damit wird die Herkunft jeder Version zur Voraussetzung dafür, aus Veränderung tatsächlich zu lernen.

Zustand ist keine Vollmacht

Forecasted, potential, confirmed, discarded, analyzed und adjusted strukturieren die Bearbeitung. Sie legen nicht fest, wer für welchen Dienst und Zweck über einen Übergang entscheiden darf.

Ein Bereitschaftsdienst darf einen Vorfall bestätigen, ohne einen organisationsweiten Trainingsbestand ändern zu dürfen. Ein Data Scientist darf ein Experiment verfeinern, ohne Produktionsalarme zu unterdrücken. Ein Automat darf einen genehmigten Replay ausführen, ohne Remediation auszurollen.

Name, optionale ID, Version und Typ des Annotators liefern Herkunft. Mandat benötigt zusätzlich Organisation, Rolle, Dienstumfang, Zweck, Genehmigungsregel, Funktionstrennung und Ablauf.

Score ist kein Vollständigkeitsnachweis

Confidence beschreibt die Sicherheit des Detektors über eine Abweichung; Concern unterstützt die Priorität von Untersuchung oder Handlung. Beide messen nicht, ob alle relevanten Quellen vorhanden sind.

Geplante Arbeit kann extrem anomal aussehen. Ein Ausfall kann sicher sein, während seine Ursache offen bleibt. Hohe Priorität ist keine Erlaubnis zur Automatisierung.

Methode, Version, Inputs, Kalibrierfenster, fehlende Signale, Messpunkt, Dienst und unterstützte Aussage gehören zum Wert. Hundert beseitigt keine unbekannte Variable.

Ein logischer Verweis braucht Beweisverwahrung

Nachrichtenquellen verändern sich. Retention läuft ab, Kompaktion ersetzt Daten, Produzenten migrieren Formate und Rechte beschneiden spätere Sicht. Ein Name kann heute andere Bytes liefern.

Folgenreiche Übergänge brauchen Inhalts-Hash, Query, Filter, Intervall, Produzent, Schema, Einheit, Erfassungspunkt und Vollständigkeitsstatus. Wenn Datenschutz oder Kosten Aufbewahrung verhindern, muss diese Grenze sichtbar bleiben.

Versionen müssen Wirkungsgeschichte behalten

Der Label Store kann Labels abrufen, ändern, neu speichern oder irrelevant markieren. Auditierbar wird dies mit Vorgänger, Akteur, Zeit, Evidenzdifferenz, Grund, Widerspruch und Empfängern.

Eine spätere Verwerfung löscht keine frühere Alarmierung, Regeländerung oder Nutzung im Training. Korrektur muss zu allen Verbrauchern propagieren. Irrelevant braucht ebenfalls einen Bezugsrahmen: Dienst, Zeit, Detektor und Zweck.

Authentisierung schützt keine Interpretation

Sicherer Transport, gegenseitige Authentisierung und NACM begrenzen NETCONF- oder RESTCONF-Zugriff. Sie belegen eine erlaubte technische Aktion eines authentisierten Principals.

Sie belegen nicht, dass Symptome richtig verstanden, Daten vollständig oder Review unabhängig waren. Berechtigte Menschen irren; gültige Konten können kompromittiert sein.

Neben das Protokollrezept gehören Entscheidungsgrund, geänderte Evidenz, Vollmachtsregel, zulässiger Zweck und zusätzliche Prüfung vor Training, Unterdrückung oder Remediation.

Feedback kann sein Ziel selbst erzeugen

Refinement kann Definitionen, Gewichte, Scores, Regeln oder Modelle ändern und den Fall erneut abspielen. Ein falsches bestätigtes Label kann den neuen Detektor dazu bringen, denselben Fehler zuverlässiger zu reproduzieren.

Höhere Übereinstimmung im Replay beweist Anpassung an das Ziel, nicht an Dienstrealität. Evaluation muss vom Training getrennt bleiben und Negativfälle, Widerspruch und veränderte Bedingungen enthalten. Abgeleitete Modelle brauchen Abhängigkeiten und Rücknahme.

Antagonist zeigt als offene Implementierung visuelle Validierung und Ground-Truth-Erzeugung. Laufender Code belegt Ausführbarkeit, nicht Wahrheit, korrekte Delegation oder Produktionsnutzen.

Experimentelle Daten werden dauerhaft

Der Entwurf ist experimentell und nennt eine Open-Source-Anwendung auf realen Netzen als Erfolgskriterium. Die Quellen belegen Vorschlag und Implementierungsarbeit, nicht Adoption, Genauigkeit oder Kundenergebnis.

Labels können dennoch Entwurfsversion und Belegaufbewahrung überleben. Jeder Datensatz muss Schema- und Regeltextversion tragen; Migration darf historische Bedeutung nicht still umschreiben.

Quellen