Capítulo 12 — Probabilidad y estadística | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 12 publicada. Mapa, ejemplo, EX024.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["12.1 Reglas que usará constantemente"]
  N2["12.2 Probabilidad condicional y Bayes"]
  N3["12.3 Razonamiento binomial para la redundancia"]
  N4["12.4 Describir los datos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX024"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["12.1 Reglas que usará constantemente"]
  N2["12.2 Probabilidad condicional y Bayes"]
  N3["12.3 Razonamiento binomial para la redundancia"]
  N4["12.4 Describir los datos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX024"]

[Resultados de aprendizaje y conexión]
    |
    v
[12.1 Reglas que usará constantemente]
    |
    v
[12.2 Probabilidad condicional y Bayes]
    |
    v
[12.3 Razonamiento binomial para la redundancia]
    |
    v
[12.4 Describir los datos]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX024]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) aplicar las reglas de la suma, del complemento y de la multiplicación, y decir cuándo los eventos son independientes; (2) usar el teorema de Bayes para interpretar una alerta, incluido el efecto de la tasa base; (3) calcular la probabilidad de al menos una falla en ensayos repetidos y la probabilidad de que haya suficientes de $n$ unidades redundantes disponibles; y (4) resumir datos asimétricos con medianas y percentiles. Se apoya en el capítulo 1 y prepara los capítulos 15, 27 y 29.

12.1 Reglas que usará constantemente

Las probabilidades son números entre 0 y 1. La regla del complemento: $P(\text{not } A) = 1 - P(A)$. Para eventos independientes, $P(A \text{ and } B) = P(A)P(B)$. Para cualesquiera eventos, $P(A \text{ or } B) = P(A) + P(B) - P(A \text{ and } B)$: sumar sin restar la intersección cuenta dos veces lo mismo. Los problemas de «al menos uno» se resuelven más fácilmente por el complemento: si una copia de seguridad falla de forma silenciosa en un día dado con probabilidad $p$, de forma independiente cada día, la probabilidad de al menos una falla silenciosa en $n$ días es $1 - (1-p)^n$. La independencia es una suposición, a menudo falsa: dos generadores alimentados desde el mismo depósito de combustible fallan juntos. Estas fallas de causa común son la razón de que la redundancia sea más débil de lo que sugiere la regla de la multiplicación.

12.2 Probabilidad condicional y Bayes

$P(A \mid B)$ es la probabilidad de $A$ dado que ocurrió $B$. El teorema de Bayes relaciona los dos sentidos: $$P(\text{malicious} \mid \text{alert}) = \frac{P(\text{alert} \mid \text{malicious})\,P(\text{malicious})}{P(\text{alert})}.$$ Un detector con una tasa de verdaderos positivos del 95 % y una tasa de falsos positivos del 1 % parece excelente. Si solo 1 evento de cada 1000 es malicioso, la mayoría de las alertas siguen siendo falsas: la tasa base domina. Esta es la idea estadística más importante de las operaciones de seguridad, y explica por qué los analistas se ahogan en alertas.

12.3 Razonamiento binomial para la redundancia

Si $n$ unidades idénticas están disponibles cada una con probabilidad $1-p$, de forma independiente, el número de unidades disponibles sigue una distribución binomial: $P(k \text{ available}) = \binom{n}{k}(1-p)^k p^{n-k}$. Una estación de bombeo que necesita al menos 10 de sus 12 bombas puede calcular con qué frecuencia satisface la demanda. Para la estación de 12 bombas del Lab 6, con cada bomba no disponible el 10 % del tiempo, la suma para 10, 11 y 12 bombas disponibles da 0,889. Un equipo de mantenimiento compartido o una única acometida eléctrica rompen la suposición de independencia, así que la cifra real es menor. Añadir una decimotercera bomba eleva el resultado a cerca de 0,966, que es el tipo de comparación que necesita una solicitud de inversión.

12.4 Describir los datos

Los tiempos de detección y de recuperación de incidentes son asimétricos: la mayoría son cortos y unos pocos son muy largos. La media se ve arrastrada hacia arriba por la cola larga; la mediana (el valor central) no; los percentiles (el percentil 90, p90) describen la cola. Informe la mediana y el p90 juntos, con el tamaño de la muestra (capítulo 29, Lab 12). El Lab 12 muestra el efecto: su tiempo medio de detección es de 27,2 horas, mientras que la mediana es de 4,0. Para un consejo de administración, la frase «la mitad de los incidentes se detectaron en 4 horas; uno de cada diez tardó más de unas 56» transmite más información que cualquier promedio aislado.

12.5 Ejemplo resuelto y Lab 6 (sintético)

Este caso es sintético. El servicio de supervisión de Calder Mutual ve 20 000 eventos al día; los analistas estiman que 1 de cada 1000 es malicioso; las tasas del detector son las indicadas arriba. La copia de seguridad nocturna de la telemetría de CW falla de forma silenciosa con probabilidad 0,002 al día. Una estación de bombeo tiene 12 bombas, cada una no disponible el 10 % del tiempo.

# Lab 6 - base rates, alarm volume and repeated trials (synthetic, offline)
from math import comb
prior, tpr, fpr = 0.001, 0.95, 0.01
ppv = tpr * prior / (tpr * prior + fpr * (1 - prior))
print(f"P(malicious | alert) = {ppv:.3f}")
events_per_day = 20_000
print(f"expected false alerts/day = {events_per_day * (1 - prior) * fpr:.0f}; true = {events_per_day * prior * tpr:.0f}")
p_day = 0.002   # chance per day that a given backup fails silently
for days in (30, 365):
    print(f"P(at least one silent backup failure in {days} days) = {1 - (1 - p_day) ** days:.3f}")
n, p = 12, 0.1  # 12 independent pumps, each unavailable 10% of the time
need = 10
print(f"P(at least {need} of {n} available) = {sum(comb(n, k) * (1-p)**k * p**(n-k) for k in range(need, n+1)):.3f}")

Salida esperada:

P(malicious | alert) = 0.087
expected false alerts/day = 200; true = 19
P(at least one silent backup failure in 30 days) = 0.058
P(at least one silent backup failure in 365 days) = 0.518
P(at least 10 of 12 available) = 0.889

Menos de 1 alerta de cada 11 es real; los analistas se enfrentan a unas 200 alertas falsas al día. Una falla «rara» diaria de la copia de seguridad es más probable que improbable a lo largo de un año, razón por la cual los simulacros de restauración, y no los registros de las copias, son la evidencia que importa. Y una estación que necesita 10 de 12 bombas se queda corta cerca del 11 % del tiempo con estas suposiciones: si las indisponibilidades de las bombas comparten una causa (un único equipo de mantenimiento, una única acometida eléctrica), será peor.

12.6 Errores comunes y límites

Ignorar la tasa base (la falacia del «95 % de precisión»).
Multiplicar las probabilidades de eventos que comparten una causa.
Informar una media de tiempos asimétricos sin la mediana ni la cola.
Tratar como exactas las entradas estimadas; las salidas heredan su incertidumbre.

El Lab 6 pone una cifra a cada uno: una detección del 95 % sigue dando una probabilidad de 0,087 de que una alerta sea real; dos generadores que comparten combustible fallan juntos con mucha más frecuencia que 0,05 al cuadrado (EX024); el tiempo medio de detección de 27,2 horas del Lab 12 no describe ningún incidente; y la tasa diaria de falla de la copia de seguridad de 0,002 es en sí una estimación, por lo que la cifra anual de 0,518 hereda su incertidumbre.

Ejercicios — capítulo 12

EX023 — Cambiar la tasa base. Objetivo: ver cómo la probabilidad previa y la tasa de falsos positivos determinan el valor de una alerta. Entradas: Lab 6. Pasos: calcule $P(\text{malicious}\mid\text{alert})$ para una probabilidad previa de 0,01 y, por separado, para una previa de 0,001 con FPR 0,001. Explique qué cambio ayuda más y qué significa en la operación. Evidencia esperada: dos valores y una explicación. Rúbrica: 3 = ≈ 0,490 y ≈ 0,487, con una explicación de que reducir la FPR (ajuste, enriquecimiento) es la palanca que controlan los analistas; 2 = solo los valores; 1 = un valor; 0 = nada.

EX024 — Causa común. Objetivo: cuantificar el efecto de las causas compartidas. Entradas: dos generadores de respaldo que fallan al arrancar cada uno con probabilidad 0,05; con probabilidad 0,02, una causa compartida (combustible común contaminado) hace fallar a ambos. Pasos: calcule la probabilidad de que fallen ambos suponiendo independencia, después con la causa común (aproximada como $0.02 + 0.05^2$), y comente. Evidencia esperada: dos números y un comentario. Rúbrica: 3 = 0,0025 frente a ≈ 0,0225, unas nueve veces peor, y un remedio (combustible separado, análisis del combustible); 2 = solo los números; 1 = un número; 0 = nada.

Síntesis del capítulo

Las reglas de la probabilidad son sencillas; sus suposiciones no lo son. Las tasas base deciden si merece la pena leer una alerta, lo «raro por día» se vuelve «probable por año», la redundancia se debilita por las causas comunes y los datos asimétricos necesitan medianas y percentiles. Declare las suposiciones de independencia y pruebe qué ocurre cuando no se cumplen.