Pruebas con eventos de ejemplo

Una prueba de detección es un conjunto de eventos de ejemplo, cada uno con lo que se espera de la regla. Un caso positivo es un evento que la regla debe detectar; un caso negativo, uno que debe dejar pasar. Los dos hacen falta. Una regla que salta con todo pasa todos los positivos y es inútil; una que no salta con nada pasa todos los negativos y es igual de inútil.

Cada caso lleva el evento (el registro de origen y su número), una descripción en una frase y el resultado esperado: salta o calla. Los eventos de ejemplo no se escriben para que coincidan con la regla: salen de la documentación del registro o de un evento real anonimizado, porque un ejemplo escrito a medida de la lógica prueba que la lógica se parece a sí misma.

La tabla casos trae los nueve eventos de FZQ-024 y la tabla ejecucion, el resultado de la última prueba. La lectura útil de esa tabla es la de los fallos: cuando esperado y obtenido no coinciden, algo está mal, y el tipo de caso dice qué clase de problema es. Un positivo que no salta es un punto ciego: la conducta ocurre y la regla no la ve.

Un negativo que salta es ruido: la regla avisa de algo que el equipo ya decidió que no quiere ver. Puede ser un caso mal escrito o una excepción que la regla nunca recibió. La descripción del caso, en la tabla casos, dice qué se esperaba y por qué.

El resultado de una prueba se resume en una cifra para el flujo automático: cuántos casos pasan de cuántos hay. El flujo no deja unir un cambio si algún caso falla, pero la cifra sirve para ver de un vistazo la salud de la regla y para comparar versiones.

El caso positivo que falla trae un evento del registro de Sistema, no del de Seguridad: es el número 104, que Windows escribe cuando se vacía ese registro. La regla solo busca el evento 1102 del registro de Seguridad, así que el vaciado del otro registro le pasa desapercibido. No es un caso mal escrito: es una conducta real que la regla no cubre.