Identidades, activos y enriquecimiento

El enriquecimiento funciona por coincidencia de campos. ES compara ciertos campos del evento con las columnas de las tablas y, si coincide, añade los datos del activo o de la identidad. Para los activos mira src, dest y dvc (el dispositivo que genera el evento), y los compara con las columnas ip, mac, nt_host y dns. Para las identidades mira user y src_user y los compara con los alias de la columna identity.

Por eso un evento con un nombre de campo distinto al esperado, por ejemplo cuenta en lugar de user, no se enriquece aunque la cuenta esté en la tabla: el cruce no la encuentra.

La tabla de activos tiene un formato fijo. Cada fila exige al menos un dato de red (ip, mac, nt_host o dns) y puede llevar propietario (owner), prioridad, categoría y área (bunit). Los valores múltiples, como varias categorías, van separados por barra vertical.

Abre activos. La prioridad solo admite unknown, low, medium, high o critical, y es la que alimenta la urgencia del notable.

Los tres eventos de eventos_sin_enriquecer son como los deja la búsqueda: sin prioridad. Para el tercero, NE-7003, se cruza src y dest con activos y user con identidades. Si un valor no está en las tablas, su prioridad queda unknown. Entre las prioridades que sí aparezcan se usa la más alta, y se entra a la matriz de la tabla urgencias con la severidad del evento.

Una tabla incompleta no da error: da eventos sin enriquecer. Un notable cuyos campos no coinciden con ninguna fila queda con prioridad unknown, y una prioridad desconocida hace bajar la urgencia. Es decir, lo que ES no conoce se vuelve menos urgente, y lo más urgente de verdad puede esconderse justo entre lo que nadie registró.

Por eso, además de mantener las tablas, conviene revisar cada tanto qué direcciones y cuentas aparecen en notables sin prioridad.

Con las tres urgencias calculadas, un solo notable merece atención inmediata: aquel donde la cuenta de servicio, el equipo de destino o ambos son de prioridad crítica y la severidad es alta. Ese es el que se revisa primero aunque su hora no sea la más reciente.