Dos esquemas comunes, ECS y ASIM

ECS es un esquema abierto que mantiene Elastic. Agrupa los campos por tema, con nombres en minúsculas separados por puntos: lo que pasó, quién lo originó, a quién va dirigido, en qué equipo ocurrió. Cada fuente se mapea a esos campos. Un evento declara la versión del esquema que cumple.

ASIM es el modelo de Microsoft Sentinel. En vez de un solo conjunto de campos, define un esquema por cada tipo de actividad: autenticación, resolución de nombres, sesiones de red, procesos y otros. Los nombres llevan mayúscula inicial junta y prefijo de la entidad a la que pertenecen. Cada fuente se traduce con un parser, que es una función escrita en KQL, y un parser unificador reúne todas las fuentes de un mismo esquema para que una regla las consulte de una vez.

Ninguno de los dos «es mejor». La decisión suele venir dada por la plataforma que ya usa la organización; lo que importa es entender los dos para poder leer un mapeo en cualquiera.

Abre el laboratorio y consulta la tabla equivalencias_autenticacion. Cada fila es un concepto y el nombre que recibe en cada esquema.

Mira el patrón: ECS nombra el grupo y después el campo, y ASIM nombra a la entidad y después el atributo. El usuario que intenta entrar se llama «objetivo» en el esquema de autenticación de ASIM, porque la persona es el destino de la autenticación; quien la inicia, cuando es otra, se llama «actor».

Normalizar no es solo renombrar campos: también se normalizan los valores. Cada fuente dice «fallo» a su manera (un código hexadecimal, una palabra, una respuesta de protocolo), y el esquema admite un conjunto cerrado de valores. Que el conjunto sea cerrado es lo que permite escribir una regla que diga «resultado igual a fallo» y funcione siempre.

Los dos esquemas no admiten los mismos valores. La tabla valores_de_resultado los lista.

Un esquema distingue entre campos obligatorios, que deben estar en todo evento, y los que solo recomienda o deja opcionales. Un campo obligatorio es una promesa: quien escribe una regla puede apoyarse en él sin comprobar si existe. Cuantos más obligatorios, más fiable es el esquema y más trabajo exige cada fuente.

La tabla campos_obligatorios muestra la clase de cada campo. Compara cuántos exige cada esquema en todo evento: no todo lo que parece imprescindible lo es. La dirección de origen, por ejemplo, la necesita casi cualquier regla de autenticación y aun así su clase no es la que podrías esperar.

Una regla de fallos repetidos agrupa por cuenta y por dirección de origen. Si la dirección de origen no es obligatoria en el esquema, algunas fuentes no la entregarán y esa regla no puede suponer que existe.