Revisar el repositorio público de reglas

El repositorio público de reglas de Elastic es de código abierto bajo la licencia Elastic License v2 y guarda las reglas como archivos de texto en una carpeta propia, junto a las herramientas que las validan y las pruebas que las comprueban. Pide un acuerdo de contribución a quien aporte. Esa estructura enseña algo útil para cualquier colección: una regla no es solo una consulta, es un archivo con metadatos, una licencia y una prueba.

Un archivo que trae licencia, fuente y revisión se puede evaluar sin ejecutarlo. Uno que no los trae es una consulta suelta.

La mayoría de las reglas ajenas se descartan en el primer paso: piden una fuente de datos que la casa no recolecta. Una regla excelente sobre una fuente ausente no detecta nada, y es peor que no tenerla, porque parece cobertura.

Abre la consola. coleccion_publica lista los diez archivos y fuentes_de_la_cerveceria dice qué se recolecta hoy.

Importar una regla es copiar un trabajo con licencia. La cervecería acepta tres: Elastic License v2, MIT y Apache-2.0. Es una decisión de la casa, no una regla técnica. Una licencia que no está en la lista es un asunto para la persona responsable de lo legal, no algo que el ingeniero resuelva activando la regla de todos modos.

Una de las reglas tiene un archivo sin problemas técnicos y una licencia fuera de la lista.

Para dar una regla por activable deben cumplirse cinco criterios a la vez: fuente recolectada, tipo aceptado, revisión reciente, licencia aceptada y falsos positivos documentados. Fallar uno basta para que la regla espere. Algunas fallan por una causa, otras por dos.

La tabla de criterios tiene el texto exacto de cada uno.

Que una regla pase los cinco criterios no la vuelve parte de la casa. Falta probarla con datos propios, ver cuánto ruido hace y ponerle dueño. Una regla recién adoptada que alerta sin parar al turno se apaga a los dos días, y la cobertura que prometía se pierde.