Falsos positivos esperados

Escribir «ninguno conocido» en la sección de falsos positivos casi nunca es verdad: es la señal de que nadie ha mirado. La forma de llenar la sección sin inventar es un ensayo sobre historial: se aplica la lógica de la regla a datos pasados ya exportados (solo lectura, no se ejecuta nada en producción) y se agrupan los disparos por causa.

En disparos_14_dias hay el ensayo de SDN-105 sobre catorce días, con cada causa revisada a mano. Algunas causas admiten una exclusión acotada: una condición precisa (una cuenta, un servidor, una ventana) que separa lo legítimo de lo que se busca.

La tasa de falsos positivos de un ensayo es la parte de los disparos que no eran lo que se buscaba, expresada en porcentaje del total. Se calcula con la suma de todos los grupos, no con una causa suelta, y se redondea al entero para escribirla en la ficha.

Una tasa muy alta no obliga a tirar la regla: obliga a preguntarse qué causas se pueden separar con una condición y cuáles no.

Una exclusión acotada tiene alcance, dueño y fecha: dice exactamente qué se excluye y quién responde si cambia. Aplicadas las exclusiones que la columna exclusion_acotada_posible permite, los disparos que quedan son los que el turno recibiría de verdad.

Calcula cuántos disparos del ensayo quedarían. Es la cifra que se escribe en la ficha como ruido esperado.

Hay causas de falsos positivos que ninguna condición separa de lo que se busca: lo legítimo y lo malo dejan el mismo rastro. Excluirlas «porque hacen ruido» sería abrir un hueco por el que pasaría lo que la regla debe ver. Se declaran en la ficha como falsos positivos aceptados, con su costo, y se resuelven por otro lado: una segunda señal, un cambio en la fuente o un acuerdo con el equipo que provoca el ruido.

Una causa aceptada sin explicación se convierte en una excepción que nadie revisa. La sección de falsos positivos debe decir, para cada causa, qué es, cuánto pesa, cómo se reconoce (o que no se puede) y qué se hace con ella.