¿Cómo decides si una alerta es un verdadero positivo o un falso positivo?

Un verdadero positivo significa que la lógica de detección disparó sobre el comportamiento que fue diseñada para cazar. Decídelo reconstruyendo lo que ocurrió de verdad en el host, no según si resultó ser malicioso. La actividad maliciosa es un eje aparte, y por eso existe el veredicto de verdadero positivo benigno. Usa la genealogía del proceso, la intención del usuario, los registros de cambios y la comparación con la línea base, y luego anota la evidencia que sostiene tu decisión.

Mantengo dos preguntas separadas. ¿Disparó la regla sobre lo que fue escrita para cazar? ¿Y era ese comportamiento malicioso? Si una regla de creación remota de servicios dispara porque un sysadmin usó PsExec durante una ventana de parcheo, eso es un verdadero positivo en la detección y benigno en la intención. Llamarlo falso positivo es como acabas suprimiendo PsExec entero y perdiéndote el de verdad seis meses después. En la práctica reconstruyo la secuencia: proceso padre, línea de comandos, la cuenta, la hora, si encaja con un registro de cambio y si el mismo patrón aparece en máquinas equivalentes. Si noventa máquinas de la misma unidad organizativa lo hicieron en cinco minutos, es automatización casi seguro. Si es un solo host a las tres de la mañana con un inicio de sesión interactivo, escalo. Siempre dejo escrita la evidencia concreta que me haría cambiar de opinión, porque en el siguiente turno puede ser otra persona quien la encuentre.