Esquemas comunes: ECS, OCSF y CIM

Cada fuente nombra los campos a su manera. Sin un vocabulario común, detectar un inicio de sesión fallido exige una regla por fuente, cada una con sus nombres, y cada fuente nueva obliga a escribir otra. Normalizar es traducir los campos de origen a nombres comunes: una regla escrita una vez sobre esos nombres sirve para todas las fuentes que se hayan traducido.

Los tres esquemas del módulo agrupan los eventos por tipo (autenticación, red, archivos) y fijan nombres para lo que se repite siempre: la hora, el usuario, la dirección de origen, el equipo, el resultado. No son intercambiables entre sí: cada uno tiene sus nombres y sus valores.

En ECS los campos se organizan por objetos con punto: event.* para lo que es el evento (categoría, resultado, código), host.*, user.*, source.*, destination.*. En OCSF los eventos son de una clase con identificador numérico, dentro de una categoría, con una actividad y un estado también numéricos, y la hora va en milisegundos desde la época UTC. En CIM los eventos entran a un modelo de datos por etiquetas y sus campos tienen nombres cortos: dest es el equipo destino, por ejemplo.

Abre evento_origen y en_ocsf. Es el mismo evento: un inicio de sesión fallido en lt-dc01.

El nombre del campo con la dirección de origen cambia de un esquema a otro, aunque el dato sea el mismo. Es lo que se pierde al copiar una regla de un esquema a otro sin traducirla: la regla no falla con un error, simplemente no encuentra nada, porque busca un campo que en el otro esquema se llama distinto.

Compara en_ecs, en_ocsf y en_cim.

Una fuente puede llegar y analizarse bien y aun así quedar fuera del esquema: sus campos existen con los nombres de origen, pero nada los lleva al campo común. Para el SIEM esos eventos están, pero una regla sobre el campo de usuario del esquema no los ve nunca. El mapeo incompleto no da error en ninguna parte.

Un proveedor comparte una regla escrita sobre los nombres de ECS, como event.category y event.outcome. El SIEM de Lácteos de Tenza guarda sus eventos con los nombres de OCSF. Las reglas no se pueden usar tal cual.