De la conducta a la regla

La primera versión de la regla busca una conducta, no una dirección: conexiones hacia un destino externo a intervalos casi idénticos, de tamaño constante y sostenidas durante horas. Esa forma de actuar es la del latido de la campaña, pero también la de cualquier programa legítimo que avise a su servidor a intervalos fijos. Una regla de conducta pesca todo lo que se comporta así.

Una regla sobre la dirección de destino se escribe en un minuto y parece la más segura, porque es exacta. Pero la dirección es lo más barato que el adversario puede cambiar. La tabla de resolución muestra qué pasó con la del canal de mando y qué sigue igual en la conducta, que le cuesta más cambiar.

Una regla solo ve lo que el sensor recoge. Antes de culpar a la regla de no detectar algo, se mira si la fuente de datos que necesita existe y está activa. La tabla de cobertura cruza cada técnica del perfil con la fuente que la registra y su estado de recolección: una técnica sin fuente activa es una zona ciega, y la regla que se escriba sobre ella no disparará nunca.

Medir una regla es contar qué parte de lo que alerta no era lo que se buscaba. La tabla de alertas de la semana agrupa lo que disparó la primera versión por equipo y dice cuántas eran verdaderas y cuántas no. El número que importa al turno es la parte de las alertas que fueron falsas sobre el total de las alertas.

La salida habitual a un falso positivo es aflojar la regla, y es la peor: se pierde justo lo que se quería ver. La salida correcta es acotar. La excepción se escribe para el caso concreto que se justificó, con su dueño y su fecha de revisión, y todo lo demás sigue vigilado.