Falsos positivos, leídos con evidencia

Una alerta que no es un incidente puede serlo por razones distintas, y cada una se trata de manera distinta. Hay un falso positivo de la regla: la regla coincide con algo que no era lo que pretendía (una cadena demasiado corta que aparece en tráfico inofensivo). Hay un verdadero positivo esperado: la regla acierta —el agente de usuario sí aparece— pero lo que describe lo hace la casa a diario, con permiso. Y hay un verdadero positivo sin consecuencia: ocurre de verdad, desde fuera, y no pasa nada porque no hay nada expuesto.

Llamarlo bien importa porque el remedio cambia: al primero se le arregla la regla; al segundo, se le acota el origen conocido; al tercero, se le baja la prioridad o se le sube el umbral. Mezclarlos lleva a apagar reglas buenas.

La regla del agente de usuario no aprobado disparó 1380 veces en 30 días, y la mayor parte viene de un monitor de versiones que la casa instaló a propósito.

Una buena pregunta para una regla es: ¿qué fracción de lo que dice termina en nada? Es una división: las alertas cerradas sin acción entre los disparos, por cien. Una regla que casi nunca acierta no ayuda a nadie, pero tampoco se apaga solo por eso: primero se averigua si el ruido viene de un origen concreto o si la regla describe mal algo general.

La tabla disparos_30d tiene los números de cada regla. Calcula la de la regla que vigila las peticiones a la zona de administración y redondea al entero.

El primer paso de afinar una regla ruidosa no es tocarla: es saber quién la dispara. Si casi todos los disparos vienen de uno o dos orígenes, el ruido tiene nombre y probablemente tiene una explicación en una tarea programada. Si vienen de decenas de orígenes distintos, la regla describe mal algo general y hay que corregir la regla, no un origen.

Mira de dónde vienen los disparos de la regla del agente de usuario no aprobado y quédate con el origen que concentra la mayoría.

La tabla de orígenes trae una columna de explicación. Dos orígenes tienen un ticket de TI que dice qué hacen y por qué; un tercero tiene pocos disparos y ninguna explicación. Es tentador ignorarlo porque pesa poco en la cola. Es justo al contrario: un agente de usuario que la casa no instaló, en un puesto que no debería tenerlo, es la única fila de la tabla que podría ser verdadera.

La regla del afinado es que se calla lo que se puede explicar con evidencia, y lo que no se explica se investiga primero con su responsable.

Afinar sin dejar rastro es desactivar a ciegas. Cuando un origen se calla, la razón tiene que poder leerse después: un ticket, un responsable, una fecha. El ticket es lo que convierte «callé esto» en «esto está explicado, y aquí consta».

Lee el ticket que explica la actividad del equipo que origina la mayoría de los disparos de la regla 5200003.