во первых при анализе cap можно реально сделать тригеры, также вполне можно обучить модели на профиль трафика и при его изменении тоже сообщать, но это уже наверно ближе к фроду
Да, конечно можно привентивно делать какие-то выводы на основе изменения каких-либо метрик, но по факту такие штуки срабатывают в случае плавного и постоянного либо регулярного их изменения