Falsos positivos y afinado en el perímetro

Hay una regla que dispara miles de veces al mes y casi nunca por algo que importe. Antes de tocarla, la pregunta es quién la dispara. Si casi todo viene de un equipo conocido y autorizado —por ejemplo, el escáner de vulnerabilidades del propio equipo de TI en su ventana—, el ruido tiene explicación y se calla con una supresión acotada a ese origen y a ese destino. La regla se queda encendida para todos los demás.

Deshabilitar la regla entera para callar a un equipo deja sin vigilancia a todos los orígenes por culpa de uno. Y una supresión sin vencimiento se vuelve permanente sin que nadie lo decidiera.

Consulta origenes para la regla 2400210, la de la ráfaga de peticiones a rutas del portal. La tabla reparte sus disparos por origen, con el nombre del equipo cuando el inventario lo conoce. Cruza con inventario para ver qué es cada uno.

Antes de proponer una supresión hay que medir qué parte del problema resuelve. Si un origen explica el 20 % de los disparos, callarlo no cambia mucho la cola; si explica casi todo, es el cambio que más rinde. El porcentaje es los disparos del origen entre los disparos totales de la regla, por cien.

Calcula qué porcentaje de los disparos de la regla 2400210 corresponde al equipo de la tarea anterior. Usa los disparos totales de disparos_30d.

Una supresión es una excepción con fecha. La de una prueba de carga o de una ventana de trabajo debe vencer cuando la prueba termina: si sigue vigente, la excepción cubre hoy tráfico que nadie examinó, porque el motivo que la justificaba ya no existe.

Compara la columna vence de supresiones con la fecha del informe. Una supresión ya estaba vencida y sigue en la lista.

El alcance de una supresión se lee en sus columnas de origen y destino. Cuando las dos dicen «cualquiera», la supresión equivale a apagar la regla: ningún disparo de esa regla llegará a la cola, de ningún origen hacia ningún destino. Es la manera más silenciosa de perder vigilancia, y suele venir de un «arreglo rápido» que nadie volvió a mirar.