De la regla escrita al comportamiento real

Un contador de aciertos en cero durante 90 días es una señal, no un veredicto. Puede ser una regla sombreada por otra anterior que cubre su tráfico, y entonces no sirve de nada; o una regla de un suceso raro, y entonces sí cumple su función. La diferencia se ve comparando su condición con las reglas que la preceden y preguntando para qué se escribió.

Lo mismo ocurre al revés: muchos aciertos no prueban que la regla haga lo que su dueño cree, solo que alcanza paquetes.

Consulta pruebas. Cada una compara lo esperado, según el requisito de la empresa, con lo observado en el registro. Busca la que debía negarse y se permitió: ese es el hallazgo más grave, porque el cortafuegos deja pasar lo que alguien pidió que no pasara.

La columna regla_que_decidio dice qué regla resolvió cada prueba. Ese dato, junto con el orden de la cadena, explica por qué la prueba anterior salió mal: busca en reglas la condición de esa regla y compárala con la de la regla que debía frenar el flujo.

El error contrario también cuenta: una necesidad legítima que el filtrado deja sin servicio. Cruza requisitos con pruebas y busca la que debía permitirse, según lo pedido por una de las áreas, y se negó. Fíjate en qué decidió: no fue una regla sino la política de la cadena.

Compara las columnas esperado y observado de las nueve pruebas. El porcentaje de coincidencia es el primer número del informe de una revisión de comportamiento; cuenta cuántas coinciden.