Alertas por comportamiento y su revisión

Antes de escalar una alerta de comportamiento se hacen tres preguntas: si hay un cambio aprobado que la explique, si coincide con una tarea programada y si la hora tiene sentido en la zona horaria de la empresa. Si alguna respuesta la explica, se cierra como falso positivo con la causa anotada. Si ninguna lo hace, se escala con lo que ya se comprobó, para que quien la reciba no repita el trabajo.

El cambio aprobado es la explicación más fuerte: alguien autorizó la acción que la alerta describe. Para usarlo se cruzan el equipo, la fecha y el contenido del cambio con el detalle de la alerta. Una coincidencia de equipo sin coincidencia de contenido no basta.

La alerta A-202 habla de una primera conexión a un destino. Busca el cambio que la justifica.

Hay cuatro alertas y tres posibles explicaciones: un cambio para el volumen de la bodega, un cambio para el destino nuevo y una tarea programada para el servidor de archivos. Alguna no encaja con ninguna. Esa es la que se escala, y no por ser la más grave, sino porque es la única sin dueño ni causa.

Atención: la hora de las alertas está en UTC, y las ventanas de las tareas, en hora local.

Colombia usa UTC-05:00 todo el año. Para pasar de UTC a hora local se restan cinco horas; si el resultado queda por debajo de las 00:00, la hora pertenece al día anterior. Una alerta que en UTC parece caer en la copia nocturna puede haber ocurrido en plena tarde o en plena noche en la oficina.

Convierte la hora de la alerta sin explicación.

Cerrar una alerta no es borrarla. Un falso positivo bien cerrado deja anotados la causa, el ticket o la ventana que lo explica y, si la regla se equivocó por falta de contexto, una propuesta de ajuste. Esa nota es lo que permite medir después cuánto ruido produce cada regla.