Mensajes, clases y referencias

Cada clase se define en un archivo de clasificación con un nombre corto, una descripción y una prioridad, en el formato config classification: nombre,descripción,prioridad. Una regla que declara classtype hereda esa prioridad y muestra la descripción en la alerta. Si además lleva su propia opción priority, esa prioridad sustituye a la de la clase. El número 1 es la prioridad más alta.

La tabla clases trae las clases de esta organización.

Si una regla usa un classtype que no está en el archivo de clasificación, el motor avisa al cargar y la alerta queda sin prioridad útil. Un error de una letra, como escribir trojan-activty, basta. No lo detecta la lectura rápida porque el nombre parece correcto.

Cruza la columna classtype de reglas_con_metadatos con la tabla clases.

Una prioridad propia es legítima cuando la clase no refleja bien el riesgo de esa regla concreta, pero cada una es una excepción que hay que justificar. Se vuelve un problema cuando baja la prioridad de una regla sin que nadie lo recuerde: la alerta se hunde en el panel.

La documentación recomienda que el mensaje sea lo primero entre las opciones y que indique la clase de señal. En una organización con reglas del proveedor y reglas propias, un prefijo fijo en el mensaje, aquí AS, dice de un vistazo quién es responsable de la regla. Un mensaje sin prefijo ni contexto, como «Consulta DNS rara», no dice quién la mantiene ni qué hacer.

El mensaje va entre comillas y la regla separa sus opciones con punto y coma. Si el texto del mensaje necesita un punto y coma, una barra invertida o unas comillas, hay que escaparlos; de lo contrario la regla se corta en el sitio equivocado. Es un error que detecta la carga, pero solo si se lee el aviso.