Costo de falsos positivos por nivel

5 tareas · 35 min · Principiante

Subir en la pirámide hace una regla más durable, pero no gratis: las condiciones más amplias suelen producir más alertas que no son nada, y cada alerta cuesta tiempo de una persona. Elegir el nivel de una regla es repartir ese tiempo con criterio. En la Cordelería Pasquilla tienes cinco reglas, una de cada nivel, con 90 días de alertas, cuántas fueron verdaderas y cuántos minutos llevó revisar cada una. Calculas cuánto costó cada nivel y, sobre todo, cuánto costó cada acierto. Todo es lectura de tablas ficticias.

0 de 5 · 0%

Objetivo de la sala

Un indicador atómico coincide con un valor exacto, así que cuando salta casi siempre es cierto, pero salta poco. Una regla de herramienta coincide con todo uso del programa, y los programas los usan también las personas legítimas. Una regla de comportamiento describe una cadena más amplia y se cruza con trabajo cotidiano que se le parece. Más amplitud significa más cobertura y más casos que revisar.

Por eso el costo no se mide solo en alertas. Una regla que da pocas alertas y casi todas falsas es cara; una que da pocas y casi todas verdaderas es barata aunque cada revisión lleve más tiempo.

Responde para continuar

¿Por qué suelen producir más falsos positivos las reglas de niveles altos de la pirámide?

Porque las fuentes de datos que necesitan son menos fiables y producen eventos duplicados que la regla cuenta como alertas distintas Porque las escriben personas con menos experiencia y las condiciones se redactan con menos cuidado que las de un valor exacto, sobre todo al comienzo Porque describen conductas amplias que se parecen a trabajo legítimo, y cuanto más amplia es la condición más casos normales la cumplen

Abre rendimiento: por regla, las alertas de 90 días, cuántas fueron verdaderas y los minutos que llevó revisar cada una. Los falsos positivos son las alertas que no fueron verdaderas. Busca la regla que más acumuló.

Responde para continuar

Escribe el identificador de la regla con más falsos positivos en los 90 días.

Ver pista de ayuda

Ejecuta `SELECT * FROM rendimiento` y resta verdaderos a alertas en cada fila; después mira de dónde vienen en `SELECT * FROM motivos`.

El turno tiene un tiempo limitado para estas reglas y lo que consume una de ellas no lo tiene otra. Convierte las alertas y los minutos por alerta de esa regla en horas para compararlas con lo que el turno tiene a la semana, que consta en capacidad.

Responde para continuar

Escribe cuántas horas de revisión consumió la regla de herramienta en los 90 días.

Ver pista de ayuda

Multiplica las alertas por los minutos por alerta de la fila de herramienta en `SELECT * FROM rendimiento` y divide entre 60.

La comparación justa entre niveles no es el tiempo por alerta, sino el tiempo por acierto: cuántos minutos de revisión hay que gastar, en promedio, para encontrar una alerta verdadera. Una regla que gasta más por alerta puede gastar menos por acierto.

Responde para continuar

Escribe cuántos minutos de revisión cuesta cada verdadero positivo de la regla de comportamiento.

Ver pista de ayuda

Multiplica alertas por minutos_por_alerta en la fila de comportamiento de `SELECT * FROM rendimiento` y divide entre sus verdaderos.

Tienes cinco filas y tres historias en motivos. Una regla casi nunca acierta y gasta horas; otra hace mucho ruido pero ve cosas que ninguna otra ve; otra es lenta de revisar y es la que más acierta. Una decisión sensata trata a cada una según lo que sus números dicen, no según el nivel en que está.

Responde para continuar

¿Qué decisión sigue lo que dicen los números de la tabla?

Retirar la de herramienta por ser la que más falsos positivos produjo, y dejar la de dirección IP porque consume poco tiempo del turno de revisión Retirar la de dirección IP, que acertó una vez en cuarenta; acotar la de herramienta a equipos que no son de planta y dejar la de comportamiento Apagar la de comportamiento por ser la más lenta de revisar por cada alerta y conservar las de niveles bajos, que tienen alertas más rápidas

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El ruido sube con la amplitud

2 La que más ruido hizo Lab

3 Horas de revisión Lab

4 Cuánto cuesta un acierto Lab

5 La decisión que sigue los números

Whoami-Labs Pro utiliza cookies