Escenario — el espacio de trabajo con 300 reglas activas

El jefe del turno sospecha que unas pocas reglas producen casi todo el volumen. Antes de tocar nada hay que medirlo: cuántos incidentes al día salen de las tres reglas que más crean y cuánto representan de lo que el equipo recibe.

Una de esas tres reglas es de tipo casi en tiempo real y vigila el escaneo de puertos desde una sola dirección. Consulta una lista de vigilancia para no alertar sobre escáneres autorizados. Cruza el origen de sus alertas con esa lista y encuentra la dirección que más alertas genera sin estar autorizada.

Entre las reglas programadas, una tiene una ventana que no cubre su intervalo más el retraso de ingesta medido en su tabla. Aplica el mismo criterio a todas: para no perder eventos tardíos, la ventana tiene que ser como mínimo la suma de ambos.

RB-101 abre un incidente por cada alerta. El equipo propone agruparlas por cuenta, con la ventana por defecto de cinco horas. Con la muestra de la mañana, calcula la proporción entre incidentes con agrupación e incidentes sin ella, aplícala al volumen diario de la regla y obtén el nuevo total diario del espacio de trabajo, sin tocar nada más.

El jefe del turno propone una salida rápida y tú has medido las causas. Recomienda cómo se ataca el volumen de incidentes de Ribalta.