Afinar lo justo, leyendo el alcance

Callar una regla ruidosa puede hacerse de varias formas. Se puede desactivar la regla, y se pierde para todos los equipos. Se puede poner una regla pass para el equipo, y el sensor deja de inspeccionar todo su tráfico, no solo lo que molestaba. O se puede suprimir esa regla solo para ese origen: la regla se calla para esa dirección y sigue funcionando para todas las demás.

La regla de oro es que el alcance del cambio sea lo más cercano posible al del ruido: una regla, un origen. Lee la tabla de propuestas y compara, en la columna de alcance, lo que callaría cada una.

Con el criterio claro, la lectura es mecánica: de las cuatro propuestas del turno anterior, una tiene el alcance más estrecho y la columna deja_sin_vigilar casi vacía. Las otras ganan en simplicidad o en volumen y pierden en vigilancia.

Antes de decidir, comprueba que la propuesta elegida es solo para la regla y el origen que de verdad producen el ruido, y no para otra regla que se parece.

Un cambio de afinado se justifica con una cifra: cuántas alertas desaparecen y cuántas quedan. La regla 5200003 disparó 1380 veces en 30 días. La propuesta elegida calla las del origen conocido; las demás siguen llegando, y son las que hay que seguir revisando.

Calcula cuántas alertas de esa regla quedarían en la cola tras aplicar la propuesta de alcance más estrecho, con los números de la tabla.

Algunas reglas no coinciden con una sola cosa sino con una cantidad: un umbral fija cuántas coincidencias, en cuántos segundos y contadas por quién hacen saltar la alerta. Con track by_src se cuentan por origen: diez conexiones de diez orígenes distintos no suman. Subir el umbral no apaga la regla; la hace menos sensible, y deja de ver a quien insiste con menos intentos.

Es una herramienta correcta para un verdadero positivo sin consecuencia, como las ráfagas que llegan de fuera a un servicio que no importa. Pero hay que mirar qué se deja de ver al subirlo.

Antes de proponer un nuevo número hay que ver cómo se movió el anterior y qué efecto tuvo. En historial_umbral se ve la regla de las ráfagas de SSH con su umbral en cada revisión, y cuántas alertas por día hubo después. Una reducción grande tras un cambio indica que el ruido venía de intentos cortos que ya no cuentan.

Lee cuántas conexiones por origen hacen falta hoy, en la revisión vigente, para que la regla avise.