La regla que llegó con el boletín

Una regla se prueba contra casos escritos antes de confiar en ella: los positivos son lo que haría el adversario, los negativos lo que hace la casa a diario. Un positivo que no dispara es un hueco que el adversario puede usar sin cambiar de conducta, solo de programa. Se evalúa cada condición tal como está escrita, campo por campo, sin suponer lo que el autor quiso decir.

Un filtro se añade para quitar ruido, y su motivo suele sonar razonable. Lo que decide si se acepta no es el motivo, sino qué casos deja fuera: si un filtro excluye también lo que el adversario hace de verdad, la regla seguirá en verde mientras la campaña pasa por debajo.

Una regla de creación de procesos depende de los campos que llegan. Un mismo campo de Sigma tiene nombres distintos según la fuente, y algunos solo existen si una opción del registro está activa. Que un grupo envíe eventos de creación de procesos no garantiza que lleguen los campos que la regla necesita.

Antes de anunciar que una regla está en producción, se dice sobre cuántos equipos vigila. La cobertura no es el parque entero: es la suma de los puestos cuyos registros traen todo lo que la regla mira, por la fuente que sea.