Deriva, cuando la fuente cambia su formato

Cuando una fuente cambia de formato, ninguna pieza de la cadena falla de forma visible. El agente sigue enviando, el SIEM sigue recibiendo, el parser sigue funcionando con la parte que todavía entiende. Lo que cambia es la proporción de eventos que el parser logra partir.

La medida que lo delata es la tasa de parseo: eventos parseados entre eventos recibidos, por fuente y por día. Una tasa estable cerca del 100 % es salud; una caída brusca señala un cambio de formato, casi siempre.

Consulta la tabla salud_parseo del proxy.

Dar con el día no basta: hay que saber qué cambió para corregir el parser. Los proveedores suelen avisar en sus notas de versión, si alguien las lee. Consulta cambios_de_formato y relaciona el aviso con la versión del agente de la tabla de salud.

Mientras el parser no se corrige, los eventos que no entiende se acumulan sin parsear o se pierden, según la política que tenga. Medir el hueco permite decidir si hay que reprocesar lo guardado y qué periodo revisar a mano.

Calcula los eventos sin parsear del 10 al 13 de septiembre, ambos incluidos: recibidos menos parseados, sumados día por día. Escribe el número sin puntos ni comas.

Un campo renombrado deja sin datos a toda detección que lo lea por su nombre antiguo. No se nota en el catálogo: la regla sigue activa, solo que ya no encuentra el campo. Para medir el daño se cruza el cambio con la tabla de reglas.

Consulta reglas_que_leen.

Después de un incidente de deriva conviene decidir qué control lo habría cazado el primer día. Hay controles que miran los eventos y otros que miran la salud del propio parser.