Un falso positivo es una alerta que, tras investigarla, resulta ser actividad legítima. Son inevitables, pero en exceso provocan fatiga de alertas: los analistas se saturan y terminan ignorando avisos, incluso los reales.
El riesgo de la fatiga
Como el cuento del pastor mentiroso: si la alarma suena sin parar por nada, el día del ataque real nadie reacciona. Reducir el ruido no es comodidad, es seguridad.
Cómo se reducen (sin crear puntos ciegos)
- Afinar (tuning) las reglas para que conozcan el comportamiento normal de la organización.
- Crear excepciones para actividad conocida y benigna (ej. backups, escáneres internos).
- Priorizar las alertas por severidad: que lo crítico llegue primero.
- Revisar periódicamente qué reglas generan más ruido inútil.
Cuidado: nunca silenciar alertas "a ciegas". El objetivo es que cada alerta que llega valga la pena investigar, no esconder problemas.
Dashboards
Los dashboards son paneles visuales que resumen el estado de seguridad de un vistazo:
- Volumen y tipo de alertas.
- Equipos o usuarios afectados.
- Tendencias en el tiempo.
Convierten millones de datos en información que un humano entiende en segundos, y ayudan a decidir dónde mirar primero.
Para detectar y comunicar con precisión, el SOC necesita un lenguaje común sobre las técnicas de los atacantes. Ese lenguaje es MITRE ATT&CK, el próximo tema.