Medicina natural · Cuentos infantiles · Ciberseguridad

Falsos positivos: cuándo falla la regla, no el analista

Averiguá qué son los falsos positivos en ciberseguridad, por qué una regla mal ajustada genera alertas falsas y cómo reducirlas sin dejar pasar ataques.

CIBERSEGURIDAD

10/30/20266 min read

Falsos positivos: cuándo el problema es la regla, no el analista

Imaginá una alarma de humo que suena cada vez que alguien hace una tostada. Las primeras veces corrés a la cocina. A la décima, ya ni levantás la cabeza. Un día hay fuego de verdad y la alarma suena igual que siempre, así que nadie le hace caso.

Eso pasa, con otro nombre, en los equipos de seguridad informática. Se llama falso positivo, y cuando algo sale mal es muy común que se culpe a la persona que no reaccionó. Pero muchas veces el problema no fue la persona, sino la alarma.

Qué es un falso positivo

(y qué no es)

Un falso positivo es una alerta de seguridad que salta como si hubiera un problema, pero en realidad no lo hay. El sistema se equivocó y marcó como peligrosa una actividad normal.

Para entenderlo mejor, hay cuatro resultados posibles cuando un sistema evalúa una situación:

Verdadero positivo: suena la alarma y había un problema real.
Falso positivo: suena la alarma, pero no había ningún problema.
Falso negativo: no suena la alarma, pero sí había un problema. Es el más peligroso, porque nadie se entera.
Verdadero negativo: no suena y no había nada. Es lo normal, lo que no vemos.

Un falso positivo no es un ataque ni una amenaza. Es una falsa alarma. El problema no es que exista, porque ningún sistema es perfecto. El problema aparece cuando hay tantas que ya no se pueden manejar.

Saber cómo hacer triage de alertas en los primeros minutos es clave para no perderse lo que sí importa: Triage de alertas: los 5 minutos que definen si un incidente escala

Por qué se generan tantos falsos positivos

Las herramientas de seguridad trabajan con reglas, que son instrucciones del tipo “si pasa esto, avisame”. Y las reglas fallan por motivos bastante comunes:

Son genéricas. Muchas vienen preconfiguradas para funcionar en cualquier empresa, así que no conocen la tuya. Lo que es raro en un lugar puede ser totalmente normal en otro.
Miran una sola señal. Una regla que salta ante cualquier intento fallido de ingreso va a avisar cada vez que alguien se equivoque de contraseña. Eso pasa todos los días y no es un ataque.
Un ejemplo concreto es el evento 4625 de Windows — aprendé a leer sus señales para distinguir ruido de amenaza real: Log 4625 de Windows: señales que no debes ignorar
No tienen contexto. El sistema no sabe que esa persona recién volvió de vacaciones, que ese equipo es de pruebas o que esa tarea corre todas las noches a la misma hora.
Quedan desactualizadas. Una regla razonable hace dos años puede no tener sentido hoy, después de que cambiaron los programas, las personas y las costumbres de trabajo.
Nadie es dueño de ella. Muchas reglas se activan una vez y nunca más se revisan.

La verdad incómoda: a quién se culpa y por qué es injusto

Ahora viene la parte que casi nunca se dice.

Cuando una persona recibe todos los días una enorme cantidad de alertas y la gran mayoría son falsas, su cerebro aprende algo muy lógico: “esto casi nunca es real”. Entonces empieza a cerrar alertas más rápido, a mirarlas menos y a confiar en la costumbre. A este fenómeno se lo conoce como fatiga de alertas.

Es uno de los principales motivos por los que muchos SOC fallan en detectar las amenazas reales: Por qué tu SOC falla al detectar los verdaderos positivos

Eso no es negligencia, es una reacción humana normal ante un sistema que grita “lobo” todo el tiempo. Cuando por fin aparece el lobo de verdad y no se lo detecta, la primera pregunta suele ser “¿por qué el analista no lo vio?”. La pregunta más útil sería otra: ¿por qué el sistema lo había entrenado para no mirar?

Hay un segundo factor, menos visible. Si a un equipo se lo mide solo por qué tan rápido cierra alertas, se lo empuja a cerrarlas rápido, incluso las que merecían más atención. Lo que se mide termina moldeando el comportamiento. Una regla ruidosa más una métrica de velocidad es la combinación perfecta para que algo importante pase de largo.

Cómo darte cuenta de que el problema es la regla

Hay señales bastante claras de que el origen del ruido está en la regla y no en quien la atiende:

La misma alerta se cierra siempre de la misma manera. Si cada vez que salta termina descartada por la misma razón, la regla no está aportando información.
Distintas personas llegan a la misma conclusión. Si cinco analistas diferentes cierran una alerta como falsa, probablemente no sea un problema de criterio individual.
La alerta salta ante actividad normal del negocio. Por ejemplo, cada vez que se ejecuta una tarea programada o se hace una actualización.
Nadie recuerda para qué existe la regla. Si no se sabe qué quería detectar, es difícil que sea útil.
Nunca lleva a ninguna acción. Una alerta que jamás cambia lo que alguien hace es puro ruido.

Cómo arreglar una regla que hace ruido

Una regla ruidosa se puede mejorar sin necesidad de apagarla. Un camino ordenado es este:

Medir. Ver qué reglas generan más alertas y, de esas, cuántas resultan reales. No se puede mejorar lo que no se mide.
Entender la causa. Mirar varios casos concretos y preguntarse por qué saltó. La razón casi siempre se repite.
Agregarle contexto. Enseñarle a la regla qué es normal en tu entorno: horarios habituales, equipos de prueba, cuentas de servicios automáticos.
Ajustar el umbral. Si una regla salta por un solo intento fallido, se puede pedir que salte recién ante muchos intentos seguidos o desde un mismo origen.
Probar antes de aplicar. Verificar que el cambio reduce el ruido sin hacer que se escape lo que sí importa.
Dejarlo documentado. Anotar qué se cambió, cuándo y por qué. Dentro de seis meses nadie se va a acordar.
Revisarla cada tanto. El entorno cambia, y las reglas tienen que cambiar con él.

El riesgo que casi nadie cuenta: ajustar de más

Reducir falsos positivos es necesario, pero tiene un lado oscuro. Si se ajusta una regla en exceso, se corre el riesgo de crear falsos negativos, o sea, ataques que pasan sin ser detectados.

Cada excepción que se agrega a una regla es un lugar donde el sistema deja de mirar. Y quienes atacan lo saben: muchas veces usan herramientas legítimas del propio sistema, justamente porque se parecen a la actividad normal. Si se declaró “todo esto es de confianza” sin cuidado, ese puede ser el escondite perfecto.

Por eso, una buena excepción tiene que ser:

Específica: que aplique a un equipo, una cuenta o una tarea concreta, no a todo un grupo.
Justificada: que quede escrito por qué existe.
Con fecha de revisión: que alguien vuelva a mirarla más adelante.

Falso positivo o falso negativo: cuál es peor

Un falso negativo suele tener consecuencias mucho más graves, porque un ataque real pasa inadvertido. Pero ignorar los falsos positivos no es una opción: son los que cansan al equipo y crean las condiciones para que después se escape algo real. El objetivo no es tener cero falsas alarmas, que es imposible, sino un equilibrio en el que las alertas que lleguen valgan la pena.

Qué podés hacer si no sos especialista

Si en tu trabajo o tu negocio usás un antivirus, un sistema de seguridad o recibís avisos de seguridad, esto te sirve igual:

No los apagues solo porque molestan. Pedí que los revisen y los ajusten.
No ignores todos los avisos por costumbre. Si empezás a hacerlo, es una señal de que algo necesita ajuste.
Si un aviso se repite siempre por lo mismo, avisale a quien administra la tecnología. Probablemente haya una forma de arreglarlo.
Anotá qué avisos aparecen y cuándo. Esa información ayuda a distinguir qué es ruido y qué no.

Checklist rápido: ¿tu problema es la regla?

¿Esta alerta se cierra casi siempre por la misma razón?
¿Salta ante actividad completamente normal?
¿Alguien sabe para qué fue creada?
¿Alguna vez llevó a una acción real?
¿Se revisó en los últimos meses?
Si se ajusta, ¿quedó anotado qué se cambió y por qué?
Si se agrega una excepción, ¿es específica y tiene fecha de revisión?

Conclusión

Un falso positivo es una falsa alarma, y es normal que existan. Lo que no es normal es que se conviertan en el ruido de fondo que apaga la atención de quienes tienen que protegerte. Cuando una alerta se descarta una y otra vez, la pregunta no debería ser “¿qué le pasa a la persona?” sino “¿qué le pasa a la regla?”. Arreglar las reglas, con cuidado de no dejar puntos ciegos, es una de las formas más efectivas de que las alertas verdaderas vuelvan a tener el peso que merecen.