Falsos positivos y pruebas con corpus limpio

Un corpus limpio es un conjunto de archivos que la organización sabe legítimos: sus documentos, sus instaladores, sus scripts de administración. Se pasan las reglas por encima y cada coincidencia es, por definición, un falso positivo. La medida es la tasa: coincidencias divididas entre archivos del corpus.

Lo que no mide: una regla con cero coincidencias no es una regla sin falsos positivos, es una regla sin falsos positivos en ese corpus. Si el corpus no tiene un tipo de archivo, la prueba no dice nada sobre él.

Abre SELECT * FROM corpus_limpio y SELECT * FROM coincidencias_en_limpio. El corpus tiene cinco categorías y la tabla de coincidencias dice dónde coincidió cada regla. Suma las coincidencias de CCU_Celosia_Floja y divídelas entre el total de archivos del corpus; escribe el porcentaje sin el signo.

La política fija un máximo de coincidencias en el corpus limpio. Una regla con una cifra pequeña en términos absolutos puede incumplirlo igual: lo que cuenta es la proporción. Abre SELECT * FROM politica_del_corpus para ver el máximo y aplícalo a cada regla de la tabla de coincidencias.

La política exige una categoría de corpus por cada tipo de software del inventario de la organización. Compara la lista del inventario con las categorías que existen en corpus_limpio. Una regla puede salir perfecta de la prueba y fallar el primer día en el tipo de software que nadie metió en el corpus.

CCU_Instalador_Arcilla coincidió con doce instaladores firmados del corpus limpio. Todos son legítimos y la regla pretende detectar un instalador de la familia ficticia Arcilla. Se necesita decidir antes de pasar la regla a producción.