Cómo reducir falsos positivos conservando evidencia de la decisión
Ajusta una condición demostrada y conserva evidencia suficiente para revisar o retirar la excepción.
Equipo enginerIT· 2 min de lectura
Reduce falsos positivos ajustando condiciones concretas y conservando por qué la actividad se consideró esperada. No cierres una familia de alertas porque una muestra fuera legítima. El objetivo es eliminar trabajo repetitivo sin perder la posibilidad de detectar una variación peligrosa de la misma actividad.
Acredita qué actividad era legítima
Reúne identificador de alerta, activos, cuentas, horario y proceso que la produjo. Pide al propietario confirmar la operación y contrástala con registros. Distingue actividad autorizada que dispara una regla de una detección equivocada: la primera puede seguir siendo relevante fuera de su alcance normal. Si no puedes explicar la causa, mantén el caso abierto para investigación en lugar de etiquetarlo como ruido por su frecuencia.
Diseña la excepción más estrecha
Especifica qué combinación admite el comportamiento: aplicación validada, equipo de pruebas, identidad y ventana, según lo que soporte la herramienta. Evita excluir una carpeta completa o todas las acciones de una cuenta privilegiada cuando basta un criterio menor. Microsoft documenta que el ajuste de alertas de Defender XDR tiene efectos diferentes según acción y origen. Revisa la documentación de tu versión; ocultar, resolver y desactivar una detección no son intercambiables.
Conserva una ficha que permita discutir el cambio
Guarda muestras de referencia, explicación, condición anterior y propuesta, aprobador y fecha de revisión. Enlaza evidencia protegida en vez de copiar datos sensibles a un ticket general. Describe qué comportamiento seguiría generando aviso y cómo volverías al estado previo. Separa la autorización del negocio para una actividad de la aprobación técnica de la excepción: ninguna de ellas demuestra por sí sola que toda actividad futura de ese actor sea segura.
Comprueba lo que deja pasar y lo que sigue avisando
Antes de extender el ajuste, reproduce la actividad benigna en un entorno permitido y contrasta una variante que deba seguir siendo revisada. Si no puedes probarla sin riesgo, usa datos de ensayo o una revisión controlada del alcance con el fabricante. Después observa una muestra de casos afectados y busca ampliaciones no previstas. Mide tiempo de análisis y errores de clasificación, no solo la caída del contador. Retira la excepción cuando cambie la aplicación o desaparezca su necesidad.
Comprobaciones para cerrar la tarea
- ✓ Causa legítima contrastada con su propietario
- ✓ Condiciones, aprobador y reversión guardados
- ✓ Variante fuera de alcance comprobada
Fuentes y documentación
- Microsoft · Investigate alerts in Defender XDR — El ajuste puede ocultar o resolver alertas y sus efectos dependen del origen y de la acción.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →