Falco en Producción · Lección 21
¿Qué estrategia ayuda a reducir los falsos positivos de una regla de Falco que dispara constantemente ante actividad legítima conocida?
Añadir una excepción específica (mediante una condición adicional o una lista de exclusión) para el patrón de actividad legítima identificado, en vez de desactivar la regla por completo
Desactivar por completo todas las reglas de Falco para evitar cualquier tipo de falso positivo futuro
Ignorar todas las alertas de Falco sin revisar ninguna de ellas nunca más
Aumentar la frecuencia de escaneo del sistema para generar aún más alertas
Falco en Producción · Lección 21
Completa el código
Se puede usar una lista de exclusión con el campo
Revisa: se puede usar el campo exceptions dentro de la definición de la regla.
Falco en Producción · Lección 21
¿Por qué añadir una excepción específica y bien documentada es mejor que desactivar completamente una regla que genera algunos falsos positivos, pero que también detecta amenazas reales?
Pista: desactivar la regla completa perdería su capacidad real de detectar amenazas legítimas, mientras que una excepción acotada solo silencia el patrón específico ya identificado como legítimo, manteniendo el resto de la protección intacta.
✓
¡Lección completada!
Tuning de reglas — reducción de falsos positivos
0
XP ganado
3
Vidas restantes