Escenario, el lote de cinco reglas

La reproducción de 30 días mide lo que la regla habría costado al turno, y la política fija un tope de alertas al día para entrar a modo sombra. Hay que pasar el total de 30 días a alertas diarias antes de compararlo.

Superar los casos de prueba no vale si el banco no tiene de los dos tipos. La política pide un mínimo de cada uno, y una regla con seis casos positivos y ninguno negativo no tiene prueba de que calle cuando debe.

Hay una regla con todos sus casos en verde, la ficha completa y la comprobación automática correcta. Aun así hay un dato en otra tabla que la deja fuera: lo que pasa en el banco de pruebas no demuestra lo que verá la regla en el SIEM real.

Con los cinco criterios aplicados a las cinco reglas, queda la cifra que la jefatura preguntará primero.

La regla ruidosa busca una conducta que importa y su autor la defiende. Casi todo el ruido de la reproducción lo explica un ticket: son programas de escritorio remoto autorizados que usa el soporte de proveedores. La ficha dice cuáles son.