Falsos positivos y excepciones

Un falso positivo no se arregla borrando la regla ni subiéndole el umbral a ciegas. Se arregla con una excepción estrecha: un bloque de exclusión que combina varios campos (quién, desde dónde, con qué padre) para describir exactamente la actividad legítima conocida y nada más.

Cuantos menos campos tenga la excepción, más cosas ajenas cabrán en ella. Una exclusión por un solo valor, como un usuario o una carpeta entera, deja ciego a todo lo que ese valor pueda hacer en el futuro.

Abre la estación y lee alertas-7-dias.csv. Contar por columna es el primer paso del ajuste: antes de proponer una excepción hay que saber qué la justifica. Cuenta las alertas por usuario.

El compañero propone filter_cierre, que exige dos cosas a la vez: usuario svc-respaldo y proceso padre cierre-mensual.exe. Cuenta cuántas de las 20 alertas cumplen ambas condiciones: eso es lo que dejaría de verse. Una alerta del mismo usuario con otro padre no entra.

Mira la fila A12: es de svc-respaldo, pero su padre es otro proceso y nadie la ha revisado. Una excepción solo por usuario la haría desaparecer, y una por carpeta haría desaparecer también las alertas de otros usuarios que nadie ha mirado.