Pipeline de Clasificación de Alertas¶
SafeMode usa clasificación explícita para reducir ruido y mejorar triage.
Objetivos¶
- Separar razones de bloqueo con precisión.
- No etiquetar ads/rastreadores como phishing.
- Elevar eventos de secretos y JS sospechoso.
Etapas del Pipeline¶
- Ingreso de HTTPFlow en hooks.
- Tipado de request (document/script/xhr/media/etc).
- Gating de whitelist.
- Matching de filtros (uBlock + PhishTank).
- Guardas de falso positivo para dominios ruidosos.
- Asignación de razón (
ublock,phishtank,secrets_detected,suspicious_patterns). - Normalización de evento para UI.
- Render y agrupación en Live Threats.
Reglas de Prioridad¶
Prioridad phishing¶
Si hay hit de phishing válido, se clasifica como phishtank.
Camino uBlock¶
Si coincide en engine adblock, se clasifica como ublock y se categoriza.
Camino secretos¶
Si se detectan secretos, puede neutralizar JS y etiquetar secrets_detected.
Camino JS sospechoso¶
El nivel SUSPICIOUS_JS_LEVEL define detección vs neutralización.
Mapeo a Notificaciones¶
Las clasificaciones se traducen a canales:
- phishing
- secret
- malware/suspicious
- ad
- tracker
Cada canal respeta toggles de configuración.
Valor Operativo¶
Con clasificación estricta:
- triage más rápido
- menos fatiga por alertas mal etiquetadas
- mejor trazabilidad de incidentes