El esquema ECS en la práctica

Una dirección de origen se llama ip_cli en la VPN, IpAddress en el registro de seguridad de Windows y src en el cortafuegos. Si cada fuente conserva su nombre, una consulta sobre «de dónde vino» se escribe tres veces y se puede olvidar una.

ECS (Elastic Common Schema) es el esquema de campos que usa Elastic: nombres en minúsculas, agrupados por tema y separados por puntos, como host.name, user.name o process.name. Cada fuente se mapea a esos campos al entrar. Todo evento lleva su hora en @timestamp, y declara la versión del esquema que cumple en ecs.version.

El esquema no cambia lo que ocurrió. Cambia cómo se nombra, para que una consulta o una regla escritas una vez sirvan para todas las fuentes que se hayan mapeado bien.

Abre el laboratorio y ejecuta fuente : "windows". La tabla mapeo-ecs dice, fila por fila, qué campo de la fuente original llega a qué campo ECS y un valor de ejemplo.

Fíjate en que el nombre original (TargetUserName, Computer) no se parece al de ECS. Por eso el mapeo es una tabla que alguien escribió y que se revisa: si una fila está mal, el dato llega al campo equivocado y las reglas que lo leen se equivocan con él.

Hay datos que ECS no renombra porque no tienen equivalente. Cuando la fuente trae un identificador propio del evento, ECS lo conserva en un campo para ese fin: event.code, «el identificador original del evento». Sirve para volver a la fuente: si alguien pregunta «¿qué evento era?», ese número se busca en la documentación del producto que lo escribió.

En la fuente de Windows, ese identificador es el que decide qué tipo de evento de seguridad es. En la tabla de mapeo, su ejemplo es el de un intento fallido.

Tres campos del grupo event describen qué pasó, y se leen juntos. event.category es la familia amplia del evento (autenticación, proceso, red, archivo) y toma sus valores de un conjunto cerrado, para que una consulta pueda decir «todo lo de autenticación» sin conocer las fuentes. event.action nombra el hecho concreto con un texto de la fuente. event.outcome dice si salió bien, mal o no se sabe, con valores como success y failure.

Ejecuta event.category : "authentication" y después event.category : "authentication" and event.outcome : "failure" y compara las filas: la primera dice quién intentó entrar y la segunda, quiénes no pudieron.

Los fallos de autenticación del día vienen de dos fuentes distintas, y gracias al mapeo se leen en una sola consulta. Antes de decir «hubo pocos» o «hubo muchos» hay que contarlos, y contarlos por cuenta y por dirección, no solo en total.

Ejecuta event.category : "authentication" and event.outcome : "failure" y cuenta las filas. En esa misma consulta la cuenta y la dirección que más se repiten son las primeras que se mira.