Reglas y niveles

Cada regla lleva un level y la clasificación de la documentación lo describe: los niveles bajos son eventos esperados o errores de poca relevancia, los medios son errores repetidos o de origen no válido, y los altos son eventos de importancia o ataques. El nivel 0 es especial: se usa para ignorar un evento y se evalúa antes que el resto.

Una regla de nivel 0 no es una regla inútil. Se usa como regla base (una familia de eventos que otras reglas afinan) y como silenciador de un falso positivo concreto.

La etiqueta if_sid hace que una regla se evalúe solo si otra, la indicada, ya coincidió. Así se construye un árbol: una regla base reconoce la familia, una hija reconoce un caso y una nieta lo afina. El árbol evita repetir condiciones y ordena el mantenimiento: cambiar el padre cambia a todas las hijas.

Abre reglas_locales y sigue la columna if_sid para ver quién depende de quién.

Una regla escribe alerta si su nivel alcanza el mínimo log_alert_level del servidor y no es de nivel 0. Una regla base con nivel 0 no escribe nada por sí misma, pero sus hijas sí pueden. El mínimo del acuario es el de la tabla configuracion_de_alertas.

Cuenta las reglas de la tabla que, con ese mínimo, escriben alerta cuando coinciden.

Las reglas del conjunto original no se editan: una actualización las sobrescribiría. Para cambiar una, se copia al archivo local con overwrite="yes" y se modifica la copia. Hay un límite: en un reemplazo, las condiciones de dependencia (if_sid, if_group, if_level, if_matched_sid) se ignoran y prevalecen las originales.

Localiza en la tabla la regla propia que reemplaza a una del conjunto y que cambia su nivel.

El equipo del acuario descubre que cada login correcto desde la caja de pruebas genera una alerta que nadie necesita. Ya existe una regla hija para ese caso, 100214, con nivel 0. La pregunta es cómo conviene hacer ese tipo de cambio: dónde se escribe y qué se toca.