CIM y modelos de datos

Un modelo de datos es una estructura jerárquica de conjuntos de datos, cada uno definido por una restricción. En el modelo de autenticación del CIM, la restricción es una etiqueta (authentication): los eventos que la llevan entran, los demás no. La etiqueta no la trae el registro; la asigna un tipo de evento (eventtype) definido sobre la fuente.

Esto es lo que hace portable la detección: la búsqueda pregunta por el modelo, no por el nombre de cada fuente. El precio es que una fuente sin etiqueta es invisible para todas las búsquedas que leen el modelo, y nadie recibe un error: simplemente no hay eventos de esa fuente.

Abre la tabla de etiquetas por fuente. La búsqueda de la aseguradora lee solo el modelo de autenticación. Una de las cinco fuentes no lleva la etiqueta, así que ninguna de sus autenticaciones llega nunca a una detección.

Una fuente fuera del modelo no es un detalle si es voluminosa. Con la tabla de volumen de las últimas 24 horas, calcula qué parte de todos los eventos de inicio de sesión de la aseguradora no es visible para la búsqueda. Respuesta como porcentaje entero.

Entrar al modelo no basta: el modelo espera campos con nombre normalizado (user, src, dest, action). Cuando el registro crudo usa otro nombre, se resuelve con un alias de campo o con un cálculo, definidos una vez para la fuente. Una detección que agrupa por user falla en silencio si una fuente no entrega ese campo: sus eventos entran, pero quedan sin usuario.

Tienes dos problemas distintos: una fuente sin etiqueta y un campo sin alias. La tentación es editar la búsqueda de correlación para que lea también la fuente suelta, con su nombre y sus campos propios.