Validación y prioridad

La sección de validación dice cómo se probó la estrategia. Una prueba útil tiene tres clases de casos: los positivos (la regla debe saltar), los negativos (debe callar) y los casi positivos, que se parecen a lo que se busca pero tienen una diferencia que importa. Los datos son eventos ya registrados o construidos para la prueba; nadie ejecuta nada contra un sistema para producirlos.

casos_de_validacion tiene ocho casos de SDN-105, cada uno con lo que se esperaba y lo que la lógica hizo. Una fila falla cuando esperado y resultado son distintos.

La sensibilidad de una prueba es la parte de los casos positivos que la regla detectó, en porcentaje. Responde a la pregunta «de lo que debía ver, ¿cuánto vio?». Es una medida de los casos que se escribieron, no de todo lo que existe en el mundo: la ficha debe decir que es la sensibilidad sobre esos casos.

Calcúlala con los positivos de la tabla.

El caso de tipo casi_positivo es el más valioso de la tabla: un evento que se parece a una causa de ruido conocida pero que no lo es. La regla excluye lo que viene de la cuenta de despliegue de servidores nuevos; el caso pone esa misma cuenta en un servidor que no está en la lista de altas, y la regla calló.

Una exclusión escrita con demasiada amplitud abre un hueco. Una validación sin casos casi positivos no lo habría visto.

La sección de prioridad ordena la ficha frente a las demás. Aquí el equipo usa una puntuación sencilla: impacto (qué tan grave es la conducta si ocurre y nadie la ve) por confianza (qué tan probada está la lógica). Las dos van de 1 a 5. Es un criterio del equipo, no una norma: lo importante es que esté escrito y se aplique igual a todas.

fichas_en_cola tiene cuatro fichas pendientes de publicar. Una de impacto alto pero poco probada no debe pasar delante de una bien probada de impacto medio.

La prioridad también es un costo. Cada ficha pedirá al turno minutos diarios, y el presupuesto para alertas nuevas es limitado (está en criterio_de_prioridad). Publicar las fichas por orden de puntuación y mirar cuánto suman permite saber si quedan minutos para la tercera.