Detecciones tempranas y su costo

El valor de una regla de este tipo se juzga con tres datos juntos: cuánto aviso habría dado en el caso, qué proporción de sus alertas se confirman y cuánto tiempo de análisis consume al mes. Ninguno basta solo. Una regla con mucho aviso y alerta casi falsa cuesta horas que nadie tiene; una regla perfecta que salta cuando ya se cifra no es una alerta temprana.

El costo en tiempo es alertas por minutos de revisión. En reglas_candidatas, alertas_30d son las alertas de un mes normal, sin contar el caso, y min_por_alerta es el tiempo medio de revisión. Con el resultado se decide si la regla cabe en el turno.

El aviso se mide contra el primer renombrado masivo, en la tabla cifrado. Una regla temprana, a efectos de esta tarea, es la que habría saltado con más de 24 horas de margen. Entre esas, la que menos acierta es la candidata a afinar antes que a activar tal cual. La proporción confirmada es confirmadas entre alertas.

Una regla bien escrita sobre una fuente que no llega al SIEM es una regla que nunca se ejecuta. El primer paso no es afinarla, es traer la fuente. Busca en reglas_candidatas la que depende de una fuente con llega_al_siem en NO.

Con varios días de aviso, poco costo y alertas que se confirman, las reglas de cuenta de servicio y de grupo privilegiado dan más margen por minuto invertido que la regla de agente detenido, que solo avisa unas horas antes. La regla de muchos equipos por cuenta necesita afinarse con la lista de cuentas de inventario antes de activarse. Y la de respaldo pide primero traer su fuente.