La ficha de una detección y su historial

La ficha de una detección responde, por escrito, las preguntas de la persona que la hereda: qué conducta busca (hipótesis y técnica), de dónde lee (fuente), qué condición aplica (lógica), cuán grave es (severidad), quién responde por ella (dueño), qué hace el turno cuando salta (runbook), qué versión corre, qué ruido se conoce y cuándo se revisa o se retira.

La prueba de que una ficha está bien hecha es que alguien que nunca vio la regla pueda atenderla un domingo por la noche sin llamar a su autor. Si para entender una alerta hay que preguntar a alguien, la ficha está incompleta.

Una detección cambia: aparece ruido, se descubre una forma que no veía, cambia el entorno. Cada cambio es una versión nueva con su motivo escrito, no una edición silenciosa sobre la misma regla. Sin historial no se puede explicar por qué hoy no salta algo que antes saltaba, ni deshacer un cambio que salió mal.

Abre el catálogo y mira la tabla versiones de PDC-104. Cada fila dice qué cambió y por qué.

La versión v1.3 quiere reducir el ruido de los cambios de fin de mes: en vez de aceptar la tarea solo si la crea la cuenta del cambio, acepta la tarea de cualquier cuenta mientras haya una ventana de cambios abierta. La tabla casos_de_prueba dice, para cada caso, si la regla hizo lo esperado con cada versión: saltó en un caso positivo y calló en uno negativo.

Una versión nueva se prueba contra todos los casos, no solo contra el que motivó el cambio. Una excepción que arregla un ruido puede cegar otra cosa.

Entre la última versión escrita y la que está en producción puede haber una distancia. La ficha tiene un campo, version_desplegada, que dice cuál corre; el historial dice cuál es la última. Cuando las dos no coinciden, la ficha tiene que explicar por qué.

La v1.3 reduce el ruido de fin de mes, pero cuenta como «ok» menos casos que la versión actual: rompe el caso C-07, que representa exactamente la conducta que la regla existe para vigilar, una tarea creada por una cuenta que no figura en el cambio.