Enriquecer

Se puede enriquecer al ingerir (la tubería añade el dato y el evento lo guarda para siempre) o al consultar (el SIEM busca el dato cuando alguien mira). Lo primero fija en el evento el valor que era cierto en ese momento; lo segundo siempre muestra el valor de hoy, que puede no ser el de entonces. Para direcciones que cambian de dueño, el valor de entonces es el que importa en una investigación.

La tabla eventos_enriquecidos muestra el equipo que escribió la tubería con su tabla fija. La tabla arrendamientos dice qué equipo tuvo cada dirección en cada intervalo del día. Para el evento EV-2, cruza la dirección y la hora con el intervalo que lo contiene.

Compara los cinco eventos con los intervalos. Un evento está mal enriquecido cuando la tubería escribió un equipo distinto del que tenía la dirección en ese momento. Los eventos sin equipo no cuentan aquí: eso es otra falla.

La tabla fija se actualizó el 6 de noviembre y no incluye todas las direcciones. Un evento sin coincidencia no debe inventar un valor: debe salir con el campo vacío y quizá una marca de «sin enriquecer», para que una regla pueda distinguirlo de un equipo que sí se encontró.

La tabla fija tenía dos filas con fecha de actualización de hace cuatro días. Cualquier regla que use equipo para decidir la prioridad de una alerta hereda ese error. El remedio no es dejar de enriquecer, sino que el dato enriquecido diga de dónde salió y de cuándo es.