Métricas de calidad de detección

La precisión de una regla es la parte de sus alertas que resultaron reales: verdaderos positivos divididos entre todas las alertas (verdaderos más falsos). Dice cuánto se puede confiar en una alerta cuando suena.

No dice nada de los ataques que la regla no vio. Esa otra cara, la cobertura o sensibilidad, solo se estima con pruebas (como las de la sala 5), porque lo que una regla no detecta no genera alerta que contar.

Abre la estación y lee metricas-30-dias.csv. Para la regla BRL-R3, divide sus verdaderos positivos entre sus alertas totales (la suma de verdaderos y falsos positivos) y exprésalo como porcentaje entero.

El costo de una regla para el equipo es el número de alertas por los minutos que lleva atender cada una. Una regla con muchas alertas y pocos aciertos puede devorar más horas que otra con alertas más largas de atender. Calcula la carga total de cada regla.

BRL-R4 tiene cero alertas. Eso puede significar que no ocurre nada que detectar o que ya no puede ver nada. Antes de decidir, mira qué fuente la alimenta (reglas-por-fuente.csv) y si esa fuente sigue enviando eventos (fuentes-activas.csv). Una regla muda se revisa; no se borra por silenciosa ni se da por sana.