Desplegar, afinar y retirar

El modo sombra es una etapa en la que la regla corre contra datos reales y registra lo que habría alertado, sin enviar nada al turno. Se revisa a mano lo que registró y se mide su precisión y su volumen antes de que cuente en la cola. Es la única forma de saber cuánto ruido va a hacer una regla antes de que ese ruido cueste minutos a alguien.

Una prueba con casos controlados no sustituye a la sombra: los casos dicen si la lógica funciona, y la sombra dice cómo se comporta frente a un entorno que nadie planeó.

Abre el catálogo y mira sombra_pdc107: catorce días de PDC-107, una regla que vigila ejecutables creados en la carpeta temporal. Cada fila trae los disparos del día y cuántos confirmó la revisión como incidente. Un día que se sale de la serie casi nunca es azar: algo cambió en el entorno. La tabla bitacora_sombra lo apunta.

La tabla etapas dice lo que se exige para salir de la sombra: catorce días, una precisión del 25 % o más y menos de 10 alertas al día. La precisión de la sombra es el total de verdaderos entre el total de disparos de los catorce días.

Con la precisión que acabas de calcular frente al mínimo de la tabla, PDC-107 no cumple el criterio de paso. Buena parte de la distancia la pone un solo día: el del pico, en el que la herramienta de inventario dejó ejecutables en la carpeta temporal de cuarenta equipos y la revisión no encontró ningún incidente.

Retirar es una etapa más, no un borrado. La tabla politica_de_retiro fija tres casos: se retira cuando la fuente o el sistema vigilado ya no existe, o cuando lleva más de 365 días sin verdadero positivo y otra detección cubre la conducta; si nadie más la cubre, se revisa y no se retira.

La tabla candidatas_a_retiro trae cuatro reglas que salieron en la revisión. Aplica la política a cada una.