Arquitectura y flujo de un evento

Cuando un agente envía una línea, el servidor no la lee de golpe. La pasa por fases, y cada una produce algo distinto. Primero una predecodificación, que mira solo la cabecera del mensaje y saca la fecha, el nombre del equipo y el nombre del programa. Después una decodificación, en la que un decoder lee el cuerpo y extrae campos con nombre. Luego el filtrado, donde las reglas deciden si el evento coincide con algo y con qué nivel. Por último, la alerta, que se escribe solo si el nivel llega al mínimo configurado.

Esta separación importa porque un fallo en cada fase se ve distinto: sin predecodificación correcta no hay programa que un decoder pueda reconocer; sin decoder no hay campos para una regla; sin regla no hay nivel ni alerta.

La plataforma tiene cuatro piezas: el agente en cada equipo, el servidor que analiza, el indexador que almacena y busca, y el panel que consulta. Cada conexión entre piezas usa su propio puerto, y conocerlos sirve para leer una regla de cortafuegos, un diagnóstico de conexión o un informe de arquitectura sin adivinar.

Abre la tabla de componentes y localiza el servicio por el que el servidor recibe el flujo de eventos de los agentes. No lo confundas con el de alta, que se usa una sola vez por agente.

Recibir un evento no es lo mismo que alertar. Un evento puede quedarse sin alerta por dos motivos: ninguna regla coincidió con él, o la que coincidió tiene un nivel por debajo del mínimo que el servidor escribe. El mínimo es la opción log_alert_level; en cada organización se elige distinto.

Abre configuracion_de_alertas y eventos_del_dia. Cuenta los eventos que no quedaron escritos como alerta: los que no tienen regla y los que tienen una por debajo del mínimo.

Otra opción de la misma sección fija el nivel mínimo para enviar un correo de aviso: email_alert_level. Es más alto que el de escritura, porque un correo interrumpe a una persona y una alerta solo se guarda. Un nivel de correo mal elegido llena la bandeja o no avisa nunca.

Busca en eventos_del_dia el evento cuyo nivel alcanza el umbral de correo del acuario.

Mira el evento E-09: llega con un nombre de programa, pero no tiene decoder ni regla. El servidor lo recibió y lo predecodificó; nadie lo reconoció a partir de ahí. No es un error del agente ni de la red: es un hueco de cobertura que el equipo de detección debe cerrar.