Umbrales y supresiones

Un umbral dice cuántas coincidencias dentro de cuántos segundos y por qué se cuenta: por origen, por destino, por regla, por pareja o por flujo. El tipo cambia el efecto. El tipo limit pone un tope: no salen más de N alertas por periodo. El tipo threshold exige un mínimo: la alerta sale cuando se alcanza la cuenta. El tipo both combina los dos: primero se alcanza la cuenta y después se limita la frecuencia.

Una línea del archivo de umbrales tiene esta forma: threshold gen_id 1, sig_id 7343003, type limit, track by_src, count 1, seconds 300. La tabla archivo_de_umbrales trae las del sensor.

La tabla alertas_en_una_hora muestra la regla 7343001 y cuántas veces coincidió cada origen en una hora. Suponte que alguien propone limitar a dos alertas por origen y por hora, es decir, type limit, track by_src, count 2, seconds 3600. Cada origen conserva como máximo dos alertas en ese periodo, y los que tuvieron menos conservan las que tuvieron.

Una supresión sin acotar, solo con el identificador de la regla, convierte esa regla en una que no alerta, para cualquier origen y destino. Acotada con track y una dirección, solo silencia a esa dirección. La primera es útil cuando una regla ya no sirve y se retira con acta; la segunda es la herramienta del afinado.

Lee las tres líneas del archivo de umbrales y las reglas que mencionan.

La línea 2 suprime la regla 7343001 para la dirección del escáner de vulnerabilidades. Es la forma correcta: acota la regla, el origen y el motivo. Pero la autorización del escáner tiene un vencimiento, y la línea de supresión no lo recuerda. Pasada esa fecha la supresión sigue silenciando a una dirección que ya no está autorizada.

Consulta activos_conocidos.

La tabla muestra una dirección externa con 17 alertas y ningún responsable, y una dirección interna con 48. Ninguna de las dos es el escáner. Antes de silenciar a nadie conviene preguntarse qué se pierde si el silencio se equivoca.