Calidad, caducidad y falsos positivos

Las direcciones IP se reasignan: la que hoy usa un atacante mañana puede ser de un servicio legítimo. Los dominios caducan y se compran de nuevo. Un bloqueo que sigue cargado meses después ya no frena a quien lo motivó; en cambio, puede dejar sin servicio a alguien que no tiene nada que ver.

Por eso cada indicador se carga con su fecha de fin y se retira o se renueva al llegar a ella, con una decisión de alguien.

La regla de la empresa está en encargo: un indicador está vigente si su fecha de fin es igual o posterior a la del informe. Todo lo demás está caducado, aunque la fuente lo siga listando o su confianza fuera alta.

Compara vigente_hasta de cada fila del lote con la fecha del informe.

Un error frecuente de una fuente es listar como malicioso un servicio que usa mucha gente, incluida la propia empresa: una red de entrega de contenido, un correo en la nube. Cargarlo tal cual bloquea la tienda en línea o el correo, con una confianza alta que no ayuda.

Cruza los valores del lote con servicios_propios.

resultados_de_fuentes dice cuántas alertas generó cada fuente en 90 días y cuántas se confirmaron como reales tras investigarlas. La proporción de no confirmadas es la medida honesta de su utilidad: una fuente con muchas alertas y pocas confirmaciones consume horas del equipo.

Calcula, por fuente, las alertas que no se confirmaron respecto al total de alertas.

Una confianza de 80 no vuelve malicioso un servicio propio. La decisión correcta no es bloquear ni descartar en silencio: es no cargarlo, dejar constancia de por qué y avisar a la fuente, porque eso mejora su calidad y la medida que la empresa usa para sus fuentes.