Modelos de decaimiento y vida útil

Un modelo de decaimiento de MISP da a cada atributo una puntuación que baja con el tiempo. Tiene cuatro piezas: la puntuación base con la que empieza (de 0 a 100), la vida útil (lifetime, los días tras los que la puntuación llega a cero), la velocidad (decay_speed, que da forma a la curva) y el umbral (threshold): por debajo de él, el atributo se considera decaído.

Un modelo solo se aplica a los tipos de atributo que tiene asociados, y un mismo atributo puede tener una puntuación por cada modelo que le corresponda. Las búsquedas por la API pueden pedir la puntuación y dejar fuera lo decaído. Consulta SELECT * FROM contexto y SELECT * FROM modelos.

La puntuación base no se escribe a mano: sale de las etiquetas de taxonomías que tienen valor numérico. Cada modelo dice qué taxonomías cuenta y con qué peso, y la base es la suma de cada valor por su peso. Si el atributo no lleva ninguna etiqueta de esas taxonomías, se usa el default_base_score del modelo. Las etiquetas del atributo mandan sobre las del evento cuando son de la misma taxonomía.

En Garza Blanca las dos taxonomías son de la casa, escritas para este laboratorio, y pesan lo mismo. Consulta SELECT * FROM pesos_de_taxonomias, SELECT * FROM valores_de_etiquetas y SELECT * FROM atributos.

El modelo polinómico de MISP calcula la puntuación así: score = base_score * (1 - (t / lifetime) ^ (1 / decay_speed)), donde t es el tiempo transcurrido desde la última actualización o el último avistamiento del atributo. Con decay_speed en 1 la caída es una recta; con otros valores la curva se dobla. Cuando t llega a la vida útil, la puntuación vale cero.

Para AT-1 necesitas tres datos: su base (de sus etiquetas), los días que van desde su última actualización hasta hoy y los parámetros del modelo de su tipo. Un exponente de 1/2 es una raíz cuadrada.

Con la fórmula ya se puede recorrer la tabla entera. El atajo tentador es mirar la columna creado y suponer que lo más antiguo es lo que menos vale. Pero el reloj del modelo no arranca en la creación: arranca en la última actualización o avistamiento, y un valor que alguien volvió a ver la semana pasada empieza de nuevo aunque lleve meses en la instancia.

Calcula la puntuación de hoy de los cinco atributos, cada uno con el modelo de su tipo, y compárala con el umbral.

El atributo creado en julio sigue con una puntuación alta. Explicarlo bien importa, porque es justo lo que se discute con el SOC cuando pide «quitar todo lo de más de tres meses»: la antigüedad en la instancia no dice si un indicador sigue en uso; un avistamiento reciente sí.