Alertas con ruido y su ajuste

Ajustar una regla es hacerla más precisa sin quitarle capacidad de detección. Hay tres caminos. Apagarla elimina el ruido y también toda la cobertura. Bajar su prioridad la esconde entre las demás alertas. Añadir una excepción le dice al sensor que, en un caso concreto y bien descrito, no alerte; la regla sigue encendida para todo lo demás.

Una buena excepción tiene tres rasgos: se basa en datos que se pueden comprobar (un proceso y su imagen, no solo un nombre), se acuerda con el dueño del servicio y tiene alguien que la revise de vez en cuando. Una excepción amplia es una puerta abierta con una etiqueta de «autorizado».

Antes de ajustar, se mide. El primer dato es cuál regla produce más alertas; casi siempre una sola regla pone la mayoría. Corregir esa regla reduce el ruido de golpe y deja ver mejor el resto.

Abre alertas/resumen-semana.csv.

Una regla ruidosa casi nunca lo es por azar: suele haber un proceso que hace siempre lo mismo y lo repite sin parar. Para saberlo se desglosa por proceso. El porcentaje de alertas que aporta cada uno dice si una excepción bastaría o si hay más de un origen.

Abre alertas/lectura-secreto-por-proceso.csv y calcula qué porcentaje del total de la regla aporta el proceso config-reloader. El total es la suma de la última columna.

Las excepciones de Falco se escriben dentro de la regla: un nombre, uno o más campos, los operadores de comparación y los valores que quedan exentos. Con la clave override se añaden a una regla que ya existe. Lo importante no es la sintaxis, sino el alcance: cuantos más campos fijan lo exento, menos cosas se cuelan.

Abre ajustes/propuestas.yaml. Hay tres propuestas, marcadas por un comentario. La que sirve para este caso exime solo al proceso del recargador, y solo cuando corre desde su imagen.

Con el recargador y la aplicación explicados, quedan las alertas que nadie ha mirado. La nota del equipo lo dice: nadie ha revisado todavía las lecturas de un proceso distinto de esos dos. Entre mil ochocientas alertas, esas pocas son las que merecen una persona.

Vuelve al desglose por proceso y busca la fila de un proceso que no pertenece ni al recargador ni a la aplicación. Lee también ajustes/nota-del-equipo.txt.