Anatomía de una firma y sus actualizaciones

Una regla se escribe contra variables y no contra direcciones fijas. HOME_NET agrupa las direcciones de la casa y EXTERNAL_NET suele ser todo lo demás. Una regla de «petición contra un servidor de la casa» solo coincide si el destino está dentro de HOME_NET. Si una subred se quedó fuera de esa variable, las reglas que dependen de ella no miran el tráfico hacia esa subred, y no avisan de que no miran.

Por eso, al heredar un sensor, la primera consulta es la de las variables, y la segunda, cruzarlas con el plano de zonas.

Compara el valor de HOME_NET con las subredes de las seis zonas. Una zona tiene una subred que no aparece en la variable. Anota cuál: es un hallazgo que se corrige con el cambio de una variable, no con una regla nueva.

Cada regla tiene un sid, que la identifica, y un rev, que cuenta sus revisiones. Además de su acción —avisar o descartar—, tiene una clase y un estado: habilitada o no. Una regla deshabilitada no se evalúa: es una ausencia de vigilancia que alguien decidió, normalmente por ruido, y que conviene que tenga un motivo y una fecha de revisión en el registro de cambios.

Consulta las reglas de la clase aplicación web. Una de ellas está deshabilitada; cruza su sid con cambios para ver quién y por qué.

Las reglas de una fuente pública se publican con frecuencia, porque aparecen técnicas nuevas y se corrigen reglas viejas. Un sensor con el conjunto desactualizado no avisa de nada de lo reciente. La política de la empresa fija cada cuánto se descarga; el operador mide cuánto se ha pasado.

Cuenta los días entre la última descarga del conjunto público, en fuentes, y la fecha del informe, en informe.

Cuando se descarga una versión nueva de una fuente, sus reglas se reemplazan por las nuevas. Si alguien edita a mano una regla de esa fuente, el cambio vive solo en la copia local y se pierde en la siguiente actualización; entonces la regla vuelve a su forma original, con el ruido que se había quitado. Por eso los cambios locales —habilitar, deshabilitar, modificar— se guardan aparte de la fuente y con su registro.