Falsos positivos y ajuste

Un falso positivo es una detección que saltó y, una vez investigada, resultó ser actividad legítima. Un verdadero positivo es una detección que acertó: la cuenta sí estaba comprometida. El veredicto se da después de revisar, con el contexto de la persona y las áreas, no al ver la alerta.

La tentación es apagar la detección que más falsos positivos da. Pero esa misma detección es la que atrapa los verdaderos positivos; apagarla borra ambas cosas. El ajuste correcto afina cuándo salta, no si salta.

Contar los veredictos por detección dice dónde duele el ruido. La que concentra más falsos positivos es la candidata a un ajuste fino. La que apenas tiene falsos positivos se deja tranquila.

En casos-revisados.txt cuenta los casos con veredicto «falso positivo» de cada detección y anota la que más acumula.

Un número absoluto de falsos positivos dice poco: depende de cuántos casos se revisaron. La proporción es lo que se compara de un mes a otro y lo que se le explica a la jefatura: «de cada diez alertas revisadas, cuántas eran ruido».

Calcula el porcentaje de casos de casos-revisados.txt con veredicto «falso positivo». Responde solo con el número, sin el signo de porcentaje.

Un rango de confianza le dice a la consola que no marque los intentos que vienen de una red conocida. Es una herramienta potente para callar ruido: la sede, la VPN. Pero confiar en una red que no se controla es confiar en todos los que la usan. Si la red es compartida con otras empresas, quien entra desde ella queda sin marcar aunque sea un intruso.

Lee rangos-de-confianza.txt y detecciones-ocultas.txt: tres cuentas luego confirmadas como comprometidas entraron desde un mismo rango sin que la consola marcara nada.

El cambio que creó ese rango no tiene ticket, y su dueño es un tercero. Dos señales de que se hizo por comodidad y no por criterio. Antes de añadir un rango de confianza hay preguntas de oficio que se contestan por escrito.