Calidad de una regla personalizada

Una regla es comprobable cuando tiene casos de prueba escritos: líneas de muestra con el resultado esperado. Hacen falta dos clases. Los positivos son líneas que deben disparar la regla. Los negativos son líneas parecidas que no deben dispararla. Sin negativos solo se sabe que la regla dispara, no que dispara bien: una regla que coincide con todo pasa todos los positivos.

Cada caso se pasa por la herramienta de prueba de decoders y reglas del servidor, que muestra qué decoder y qué regla coincidieron. Se corre completo cada vez que cambia la regla, el decoder o el programa que genera la línea.

Los identificadores de las reglas propias deben moverse en un rango reservado para ellas: de 100000 a 120000. Fuera de él, una actualización del conjunto original puede traer una regla con el mismo número, y lo que se sobrescribe o se duplica no avisa. Es una comprobación de segundos que evita una pérdida silenciosa.

Abre reglas_a_revisar y revisa los identificadores contra el criterio del equipo.

En la tabla pruebas_de_logtest, cada caso trae lo que debía pasar (esperado) y lo que pasó (obtenido). Un caso que debía quedar sin alerta y generó alerta es un falso positivo; uno que debía generarla y no la generó es un falso negativo. Los dos son fallos, pero cuestan distinto: uno llena el turno de ruido y el otro oculta lo que se buscaba.

Un caso acierta cuando lo obtenido coincide con lo esperado. El porcentaje de aciertos es un indicador de la salud del conjunto de reglas, pero no sustituye revisar los fallos uno por uno: un 80 % puede esconder dos reglas rotas o una sola con dos fallos.

Calcula el porcentaje de casos que acertaron, sobre los diez.

La regla 100411 tiene nivel 12, la descripción es una sola palabra, coincide con cualquier línea que contenga una cadena corta, no tiene dueño y nunca se probó. Su único caso generó un falso positivo. Según la clasificación de niveles, una simple coincidencia de palabra corresponde a un nivel bajo-medio, no a un evento de alta importancia.