Falsos positivos de red

Llamar «falso positivo» a una alerta es una conclusión, y como toda conclusión necesita su prueba. Una alerta se da por explicada cuando hay un registro que nombra el origen, el destino y las fechas, y coinciden con lo que la alerta describe. Si no hay nada de eso, la alerta sigue pendiente aunque el ruido sea molesto.

En Molino Sabaneta la regla de la casa es esa: un ticket vigente cuyo origen, destino y fechas coinciden con los de la alerta. Tienes la tabla de las cinco reglas que más disparan y la de tickets. Hay dos reglas cuyo origen único tiene un ticket que lo nombra; las otras tres no tienen ninguno.

Un ticket autoriza algo concreto: un origen, un alcance y unas fechas. Lo que cae fuera de ese alcance no está autorizado por él, aunque venga del mismo origen. Es el hueco por donde se cuela lo que importa: una alerta «explicada» de forma general puede ocultar una de verdad.

El escáner de vulnerabilidades tiene un ticket para analizar la red de servidores. La regla 3100231 disparó 412 veces en treinta días desde él. Mira a quién disparó, y cuenta los disparos cuyo destino no está dentro del alcance del ticket.

Los disparos fuera del alcance tienen varias explicaciones posibles: que el escáner esté mal configurado y barriera más de lo que debía, que alguien haya ampliado el análisis sin ampliar el ticket, o algo peor. Con los registros no se sabe cuál es, y no hace falta saberlo para decidir cómo tratarlos.

El criterio es de método: lo que el ticket no cubre se trata como no explicado hasta que quien lo pidió responda. Mientras tanto, no se dan por falsos ni se callan.

Cuando una alerta sí está explicada y su ruido estorba, la manera de tratarla es una excepción estrecha: nombra el origen, el destino y el puerto del ticket, y nada más. Una excepción ancha (toda la regla, o todo un equipo) no distingue lo autorizado de lo que no lo es, y se queda vigente después de que el ticket venza y a la persona se le olvide.

La báscula manda su hora a un servidor del fabricante y la regla lo ve 1208 veces. Piensa qué excepción deja de molestar y a la vez sigue avisando si esa misma báscula, un día, empieza a hablar con otro destino.