Higiene que reduce ruido

Cuando el volumen molesta, la salida fácil es dejar de auditar el evento o apagar la regla. Pero un evento que no se escribe no se puede recuperar después: si mañana hay un incidente, no habrá nada que revisar. Lo que sí se puede hacer sin perder la señal es tratar las fuentes conocidas por separado: una lista de cuentas esperadas con su motivo y su dueño, una regla distinta para ellas, o la corrección de lo que las hace ruidosas.

El equipo propone dejar de registrar los fallos de inicio de sesión porque son la mayor parte del ruido.

La proporción de alertas confirmadas sobre las alertas totales da una idea de la precisión de una regla. Una regla con muy pocas confirmaciones no es necesariamente mala, pero es la que más tiempo del turno gasta sin dar nada. Calcula la proporción de cada regla en la tabla reglas y busca la menor.

Las fuentes de fuentes_de_ruido generan eventos esperados y documentados. El volumen que queda al descontarlas es lo que de verdad hay que mirar. Suma los eventos por día de la tabla volumen_diario y resta lo que aportan las fuentes documentadas.

La regla R-01 alerta cuatrocientas veces al mes por el bloqueo de una cuenta de monitoreo que vuelve a bloquearse porque una tarea programada guarda una clave que ya cambió. Solo doce alertas fueron reales. Hay dos formas de bajar ese número: silenciar la alerta o arreglar lo que la produce.

Para tratar una fuente conocida primero hay que saber cuál es la mayor. En fuentes_de_ruido hay dos cuentas que generan eventos 4625. Una es una alta masiva y la otra una tarea con credencial antigua; su volumen es muy distinto.