Eventos notables

Un notable lleva campos que salen de los resultados de la búsqueda, y una urgencia calculada: combina la severidad que fijó el autor de la regla con la prioridad del activo o de la identidad implicados (si existen las dos, se usa la más alta). La cola del analista se ordena por urgencia.

Como autor, controlas la severidad; la prioridad depende de que las tablas de activos e identidades estén al día. Una regla de severidad inflada empuja a lo alto de la cola notables que no lo merecen.

Abre la tabla de notables del mes. Una cola que crece sin cerrarse es una señal: el equipo ya decidió, sin decirlo, que esa regla no merece el tiempo. Busca la regla con más notables todavía sin revisar.

La precisión mide cuántos notables cerrados eran actividad real: verdaderos entre verdaderos más falsos. No cuentan los que siguen sin revisar, porque no se sabe qué eran. Calcúlala para la regla de la tarea anterior, como entero.

La precisión no lo dice todo: importa el tiempo. Una regla que genera 150 notables y ningún verdadero es una regla que no se ve en el panel como grave, pero consume horas. Calcula los minutos de revisión que gastó en el mes la regla de severidad media con cero verdaderos.

CS-05 vigila un comportamiento que tiene sentido vigilar, pero nunca cierra como actividad real por sí sola. Retirarla perdería esa señal para siempre; dejarla como notable cuesta horas de turno cada mes. Hay un camino intermedio que usa la misma lógica con otro destino.