Las métricas de la cartera de detecciones

Una cartera se describe con pocas cifras, y cada una necesita una definición escrita, porque dos personas que usan la misma palabra con significados distintos se contradicen sin saberlo. En esta ruta se usan cinco:

• Precisión: de las alertas emitidas, cuántas acabaron en incidente. Verdaderos entre disparos.
• Sensibilidad medida: de los incidentes que la regla debía ver y que se conocen, cuántos vio. Verdaderos entre la suma de verdaderos y no vistos. Solo cuenta lo que alguien encontró por otro camino.
• Tasa de falsos positivos: de las alertas emitidas, cuántas el turno cerró sin incidente. Falsos entre disparos; es el complemento de la precisión. No es la tasa de la estadística clásica, que divide entre todo lo que pasó sin ser un ataque: eso en un SIEM no se puede contar, porque nadie anota los millones de eventos normales que la regla dejó pasar.
• Tiempo de revisión: los minutos que el turno gasta cerrando una alerta de esa regla.
• Antigüedad: los días desde la última revisión de la ficha de la regla.

Una regla con ocho disparos y ninguno verdadero tiene una tasa de falsos positivos del cien por cien, y con tan pocos datos eso no dice casi nada: mañana puede saltar un incidente real. Para comparar reglas se pone un mínimo de volumen. En Sopetrán, el equipo solo compara las que dispararon 20 veces o más en el trimestre.

Abre la cartera del tercer trimestre y mira la tabla cartera_t3 y la consulta de la tasa.

La precisión de la cartera no es el promedio de las precisiones de cada regla. Una regla con 14 disparos pesa igual que una con 300 en ese promedio, y el turno no las atiende igual: la regla de 300 le quita muchísimas más horas. La cifra correcta se calcula con las sumas: todos los verdaderos entre todos los disparos de la cartera.

Esa es la cifra que describe cómo vive el turno. El promedio simple, en cambio, sale casi el doble de optimista porque las reglas pequeñas y certeras (como una de 14 disparos con 14 verdaderos) lo suben.

La antigüedad avisa de lo que nadie ha vuelto a mirar. Una regla puede tener buenas métricas y una ficha de hace ocho meses: el entorno cambió y nadie lo ha comprobado. Se mide a una fecha de corte, no «hasta hoy», para que el informe se pueda reproducir. El corte de este trimestre es el 1 de octubre de 2026.

LSP-204 vigila cuentas de servicio con inicio de sesión interactivo. En el trimestre dio 14 alertas y las 14 fueron incidentes: precisión del cien por cien. En la misma tabla, la columna no_vistos marca un incidente que la regla debía haber visto y que se descubrió por otro camino.