CIM y modelos de datos

Cada producto llama a las cosas a su manera: la dirección de origen puede ser ip_cliente, sourceIPAddress o src_ip. Si cada búsqueda tuviera que conocer cada nombre, habría una por fuente. El CIM fija nombres comunes, como src, dest, user o action, y los modelos de datos agrupan los eventos de un mismo tipo (autenticación, tráfico de red, correo, actividad en equipos) bajo esos nombres.

Se escribe una vez la búsqueda sobre el modelo, y vale para el cortafuegos de un fabricante y el de otro, siempre que los dos estén alineados.

Alinear es escribir el puente entre el nombre de la fuente y el del modelo, y a veces también entre los valores. El campo action del modelo de autenticación solo admite success, failure, pending y error, así que OK y FALLO del fabricante se traducen. Los otros campos solo se renombran.

Abre mapeo_cim y eventos_vpn_crudos. Los campos de la pasarela son del producto, no del modelo.

Alinear los campos no basta. Un modelo de datos define qué eventos le pertenecen con una restricción, y para el de autenticación esa restricción es una etiqueta que lleva el tipo de evento de la fuente. Si la fuente no tiene la etiqueta, sus eventos pueden estar perfectamente mapeados y no aparecer jamás en el modelo ni en las búsquedas que lo usan.

Compara etiquetas_por_fuente con modelo_de_autenticacion: una de las fuentes sí aparece en el modelo, y la otra, no.

Para que las búsquedas sobre un modelo sean rápidas, ES y Splunk pueden acelerarlo: guardan resúmenes ya agrupados. La orden tstats los consulta. Con summariesonly=true, solo cuenta lo que ya está resumido, aunque el rango pedido sea mayor. Con summariesonly=false, completa lo que falta leyendo los datos originales: más lento y completo.

Mira aceleracion y consultas_tstats: el modelo tiene resumidos siete días y la misma pregunta se hizo sobre treinta.

La opción por defecto de una búsqueda no es siempre la correcta: depende de qué mira. Una búsqueda de correlación que revisa las últimas 24 horas cae dentro de lo resumido y se beneficia de la velocidad. Una investigación de un mes, que busca lo que pudo pasar hace tres semanas, necesita lo completo aunque tarde.