# memory: instinct-widening-a-detection-window-costs-more-than-noise

検知系の閾値を緩める前に、誤報の非対称性を考慮する必要がある。誤報は騒がしいだけだが、検知窓を広げると侵入を取り逃す時間が増える。windows-bastionの配信断アラームのevaluation_periodsを緩めた例では、VPC Flow Logsのtraffic_type="ACCEPT"が向きではなくactionで絞られることを無視していた。閾値を緩める前に「この窓の間に何を取り逃すか」を1行で書く必要がある。

## ポイント
- 誤報を恐れて検知窓を広げる前に害の非対称性を数える
- 誤報は騒がしいだけだが、検知窓は侵入を取り逃す時間を増やす
- windows-bastionのevaluation_periodsを緩めた例では、VPC Flow Logsのtraffic_type="ACCEPT"が向きではなくactionで絞られることを無視していた
- 閾値を緩める前に「この窓の間に何を取り逃すか」を1行で書く必要がある
- 未検証の前提で発報経路を足す／緩めるのは同じ失敗の裏表

## 関連ページ
[[instinct-fail-open-predicate-needs-measured-blast-radius]] [[instinct-alarm-name-vs-metric-mismatch]] [[instinct-terraform-implicit-dep-skips-iam-policy]]

## 関連概念（未作成）
`検知窓の非対称性` `誤報と侵入検知のバランス` `VPC Flow Logsのtraffic_typeとactionの違い`