Afinar la regla — la excepción que calla el ruido

Ante una regla ruidosa, la tentación es desactivarla para que deje de molestar. Pero apagar una regla que a veces acierta es quedarse ciego ante lo que esa regla veía: el falso positivo desaparece y, con él, el verdadero positivo. Afinar es lo contrario: conservar la regla y recortar solo la parte que produce ruido, sin tocar su capacidad de ver el incidente. Una regla apagada da una falsa sensación de limpieza mientras deja un hueco de detección.

El reflejo del analista maduro no es silenciar, sino preguntarse qué exactamente hace saltar la regla de más y cómo quitar eso sin perder lo demás. La regla sigue viva; solo deja de gritar por lo que ya se sabe que es normal.

Afinar bien es acotar la excepción a lo que de verdad es conocido-bueno, no a una categoría ancha. «No alertes de transferencias grandes» abre un agujero por donde pasa cualquier fuga; «no alertes de la transferencia al destino de respaldo contratado, en la ventana de la 01:00» cierra solo el falso positivo y deja la regla viendo todo lo demás. La excepción buena se apoya en el dato estable que distingue el caso legítimo —un destino concreto, una ventana— no en el síntoma genérico.

Elegir ese dato es el oficio: lo bastante específico para no tapar un incidente, lo bastante estable para que el respaldo de mañana también quede cubierto. Una excepción demasiado ancha es tan peligrosa como no tener regla.

Una excepción sin comprobar es un acto de fe. Después de escribirla hay que verificar dos cosas: que el falso positivo conocido ya no dispara, y que un evento como el incidente real —el mismo tipo de transferencia, pero a un destino desconocido y fuera de la ventana— sigue saltando. Si la excepción tapó también el incidente, se recortó de más y hay que estrecharla. Afinar es un ciclo de ajustar y medir, no un cambio de una vez.

Esta comprobación es lo que separa «creo que la afiné» de «la afiné y lo demuestro». Pasar el caso bueno y el caso malo por la regla ya modificada confirma que sigue protegiendo mientras deja de gritar.

En la consola, la regla de transferencia grande saltó tres veces: dos son el respaldo nocturno al mismo destino contratado y una va a un destino desconocido fuera de ventana. La excepción se escribe sobre el destino de los dos falsos positivos. Léelo.