Niveles de paranoia y umbral de anomalía

Lee configuracion-motor.txt antes de seguir. El nivel de paranoia va del 1 al 4 y cada nivel incluye las reglas de los anteriores: el 1 es lo que cualquier sitio en internet debería mirar, y a partir de ahí se añaden reglas cada vez más estrictas sobre la forma de la petición. Más nivel es más cobertura y, casi siempre, más falsos positivos; bajar de nivel nunca añade falsos positivos nuevos.

El umbral es otra cosa. Las reglas traducen su severidad a puntos —crítica 5, error 4, aviso 3, noticia 2— y el motor suma los puntos de todas las que marcaron. Si esa suma iguala o supera el umbral de entrada, la petición se detiene. Con el umbral de fábrica en 5, una sola regla crítica basta; dos reglas de noticia, no.

Confundir los dos mandos lleva a la conversación de siempre: alguien quiere «más seguridad», se baja el umbral a 3 y de pronto se detiene medio portal por reglas que solo avisaban de detalles de formato.

En este portal el nivel de bloqueo es 1 y el de detección es 2. Eso significa que las reglas del nivel 2 se ejecutan y dejan su línea en el registro, pero sus puntos no entran en la suma que se compara con el umbral. Es la forma barata de saber qué pasaría si se subiera el nivel, sin que nadie lo pague.

Abre el laboratorio y mira la petición P-118 en registro-anomalia.log. Tiene reglas en las dos columnas. Busca en inventario-reglas.txt la severidad de cada una, tradúcela a puntos con la tabla de la configuración y suma las tres como si todas contaran.

De esas tres reglas, dos solo existen a partir del nivel 2. Una de ellas, por sí sola, ya llevaría la petición al umbral de entrada actual; la otra no. Identifícala en el inventario por su severidad.

El registro de la semana tiene diez peticiones y dos detenidas. Si se sube el nivel de bloqueo a 2, las reglas de la columna de detección empiezan a sumar, y el registro dice exactamente a quién le tocaría: hay líneas de rutas internas que el correo reescribe y clientes que usan programas propios. El equipo tendrá que decidir si esas líneas se resuelven con exclusiones acotadas o si todavía no es momento.

La respuesta honesta al comité no es un número de nivel. Es: primero se mide en detección, se resuelve lo que aparezca y después se sube; y el umbral se deja donde está mientras no haya una razón medida para moverlo.