Alertas, severidad y contexto

En la interfaz del EDR, severidad y confianza responden a preguntas diferentes. La severidad dice qué tan grave sería lo detectado si fuera cierto: es el daño posible. La confianza dice cuánta certeza tiene la regla de que lo detectado ocurrió como se describe: es la certeza de la detección. Una regla que detecta algo gravísimo pero con indicios débiles produce alertas de severidad crítica y confianza baja.

Ninguna de las dos es un veredicto. El veredicto lo da el analista, con el contexto.

Abre la estación y lee alertas-24h.csv. La combinación que más cuidado pide al principio no es la de severidad alta con confianza alta, que se atiende sola, sino la que mezcla una gravedad máxima con una certeza baja: o es un falso positivo caro de investigar o es un indicio débil de algo serio, y solo el contexto lo decide.

La columna accion_del_agente dice si el agente bloqueó la acción o solo avisó (permitido). En una alerta permitida, lo que se detectó ya ocurrió: el EDR no lo impidió. Por eso la cola se prioriza también por esta columna: una alerta alta o crítica que ya se ejecutó pesa más que una que el agente cortó a tiempo.

El contexto cambia una alerta. Lee contexto-alt-0419.txt: la regla salta todos los días a la misma hora con el mismo hash, la tarea figura en el inventario de la auditoría y el hash está en la lista de software aprobado. Cada una de las alertas anteriores se cerró como benigna. Que una regla sea de severidad alta no obliga a escalar cada alerta que produce; obliga a que cada cierre deje la evidencia escrita.