Cobertura defensiva por fase

Un mapa de cobertura marca cada técnica con un estado: cubierta, parcial o sin cobertura. Es útil, pero tiene una trampa: «cubierta» suele querer decir que existe una regla, y una regla que existe puede no haber disparado nunca, o disparar solo sobre una variante. El mapa dice qué se previó; solo una prueba, o un caso real, dice qué funciona.

La tabla cobertura separa las dos cosas: la columna estado es lo previsto y alerto_en_el_caso lo ocurrido. Compáralas fila a fila.

Cada regla lleva un umbral, y el umbral es una apuesta sobre lo que es normal. Si se fija demasiado alto, deja pasar lo que debía ver; si se fija demasiado bajo, ahoga al equipo con falsos positivos. En un informe, la mejor manera de revisar un umbral es compararlo con las cifras del caso: lo que el adversario hizo, frente al límite a partir del cual la regla se enteraría.

La tabla reglas recoge las cuatro reglas con su umbral y su unidad. Busca la que se mide en megabytes por hora.

Contar las técnicas del informe que no alertaron es la medida más cruda de la brecha, y también la más honesta: no pregunta qué regla existía, sino qué se vio. Con un resultado así se puede decir a la dirección cuánto del recorrido del adversario habría quedado sin notar, y se puede ordenar el trabajo de cobertura por lo que más recorrido deja a oscuras.

Usa las dos consultas filtradas de cobertura por alerto_en_el_caso, o cuenta las filas de la tabla.

Las reglas con umbral fallan a menudo por poco, y saber por cuánto ayuda a decidir si se cambia el umbral o se añade otra regla. Si faltaba un margen mínimo, ajustar la cifra puede bastar; si faltaba más de la mitad, el umbral estaba pensado para otro tipo de actividad, y bajarlo sin más llenaría la bandeja de falsos positivos.

Compara el umbral de la regla de salida de datos, en reglas, con la cifra de salida del 15 de octubre, en actividad_del_caso.

Con la brecha a la vista hay que ordenar el trabajo. Una técnica sin ninguna regla pide una regla nueva, que cuesta escribir, probar y mantener. Una con una regla que se queda corta por el umbral pide un ajuste, que cuesta menos y se puede validar con el caso que acaba de ocurrir. Una técnica común a varias intrusiones y sin cobertura rinde más que otra que solo aparece en esta.