Deduplicación, cuándo dos filas son el mismo hallazgo

La deduplicación define una clave: los campos que, si coinciden, indican que dos filas hablan del mismo hallazgo. Una clave común es el activo más el identificador de la debilidad. Cuando dos filas comparten clave, la plataforma no tira una: conserva un solo hallazgo y anota todas las fuentes que lo vieron. Esa lista de fuentes es evidencia útil, porque un hallazgo confirmado por dos herramientas independientes se cree más que uno visto por una.

Lo que no debe pasar es que la fila eliminada se lleve consigo información, como la fecha de la primera detección o la fuente que lo vio.

Abre filas-importadas.csv. Hay catorce filas, pero esa cifra mide cuántas veces se informó algo, no cuántos problemas hay. Aplica la regla v2 del leeme.txt: dos filas son el mismo hallazgo si comparten activo e identificador, sin importar la fuente ni cuántas veces aparezca.

Ojo con las repeticiones de una misma fuente: una nueva ejecución del mismo escaneo vuelve a generar la fila y también es un duplicado.

La regla v1 usaba solo el identificador. Parecía razonable, pero junta cosas que no son lo mismo: una misma debilidad en dos equipos distintos son dos trabajos de remediación, con dos dueños y dos fechas. Si se mezclan, arreglar uno hace desaparecer al otro de la lista.

Aplica la clave v1 a las catorce filas: agrupa solo por el identificador y cuenta los grupos.

El daño de la clave v1 se mide en trabajo oculto. Algunos identificadores aparecen en varios equipos, y con la clave retirada cada uno de esos grupos se colapsa en un solo hallazgo aunque requiera varias remediaciones.

Cuenta en cuántos activos distintos aparece cada identificador y fíjate en el que está en más equipos.

Un hallazgo cerrado puede reaparecer: un parche se revierte, una imagen vieja se vuelve a desplegar. Si la plataforma crea un registro nuevo, la historia se corta y nadie ve que ya se había arreglado una vez. Si reabre el registro original, se conserva el historial y se puede medir la reaparición, una señal de que el cierre fue superficial o de que algo en el proceso deshace los cambios.