Escenario — el filtro que borró un campo clave

El campo que las detecciones del EDR leen para saber qué proceso lanzó a otro dejó de llegar al SIEM. Mira cuántos eventos del EDR traen ese campo cada día y cuándo pasó a cero.

Hay tres reglas de filtro de campos, con un patrón que usa * como comodín. Una sola de ellas está activa desde el día en que el campo desapareció y su patrón coincide con el nombre del campo, en la fuente del EDR. Compara el patrón con el nombre del campo, no con la intención de quien lo escribió.

La regla pedía quitar campos de ruta larga, que ocupan mucho. Su patrón era más ancho que su intención. Mira el catálogo y cuenta las detecciones que se apoyan en el campo que ya no llega.

La tubería guarda una copia del evento original en el almacén frío, con retención limitada. Los eventos de ese almacén aún tienen el campo. Con el primer día sin campo y el día más antiguo que conserva el almacén, cuenta los días del hueco que ya no pueden reprocesarse porque el original ya salió de la retención.

Finanzas pregunta si se pueden añadir más filtros: la ingesta bajó y la factura también. Tienes un campo perdido con fecha, tres detecciones mudas desde ese día, una causa en un patrón demasiado ancho, un panel de costo que no mide nada de calidad y un almacén frío con la mayor parte del hueco aún recuperable.