Loading
_ DESCIFRANDO CONEXIÓN SEGURA...

Leer una tabla de mapeo

5 tareas · 45 min · Principiante

El mapeo es el documento que dice cómo se traduce una fuente a un esquema: qué campo de la fuente va a qué campo del esquema y qué se le hace por el camino. Quien hereda un SIEM la lee antes de confiar en un solo dato normalizado. Aquí lees la tabla de la pasarela VPN de Barichara Seguros hacia ECS, cuentas qué transformaciones pide, encuentras un evento mal traducido y decides qué hacer con un valor que la tabla no previó.

0 de 5 · 0%

Objetivo de la sala

El mapeo es el documento que dice cómo se traduce una fuente a un esquema: qué campo de la fuente va a qué campo del esquema y qué se le hace por el camino. Quien hereda un SIEM la lee antes de confiar en un solo dato normalizado. Aquí lees la tabla de la pasarela VPN de Barichara Seguros hacia ECS, cuentas qué transformaciones pide, encuentras un evento mal traducido y decides qué hacer con un valor que la tabla no previó.

Una tabla de mapeo tiene una fila por campo de la fuente y, como mínimo, tres cosas: el campo de origen, el campo de destino en el esquema y la transformación que lo convierte. Una buena tabla añade un ejemplo antes y después, para que quien la lea pueda comprobarla con un evento real.

Hay tres destinos posibles para un campo de origen. Va a un campo del esquema; va a un campo libre, de tipo etiqueta, porque el esquema no tiene dónde ponerlo pero alguien podría necesitarlo; o se descarta, y entonces la tabla debe decirlo con todas las letras, no dejar la fila en blanco. Una fila vacía es una pérdida que nadie decidió.

Responde para continuar

Un campo de la fuente no tiene un equivalente en el esquema. ¿Qué debe decir la tabla de mapeo?

Abre el laboratorio y consulta la tabla mapeo_vpn. Tiene una fila por cada campo de la pasarela VPN y una columna, transformacion, que dice qué se le hace.

Descartar es una decisión legítima: guardar todo cuesta almacenamiento, y un campo que ninguna regla usa es ruido. Lo que no es legítimo es descartar sin saberlo. Cada descarte debería tener detrás la lista de reglas que no lo necesitan.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del campo de origen de la pasarela VPN que se descarta y no llega al esquema.

Ver pista de ayuda

Ejecuta `SELECT * FROM mapeo_vpn` y busca la fila cuyo destino es «(sin destino)».

Las filas de un mapeo se reparten en copias directas y en transformaciones. La copia es el caso fácil: el valor sale tal cual. La transformación es donde viven los errores: una conversión de unidad, de tipo, de mayúsculas o de valores. Cada una es un punto donde la normalización puede equivocarse sin avisar, y por eso cada una necesita sus casos de prueba.

Un buen primer paso al heredar un mapeo es contar dónde están las transformaciones: ahí se concentran las pruebas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántas filas de `mapeo_vpn` piden una transformación del valor o del tipo, y no son una copia ni un descarte?

Ver pista de ayuda

Ejecuta `SELECT * FROM mapeo_vpn` y cuenta las filas cuya transformación no es copia ni se descarta.

Un mapeo se comprueba con eventos. Se toma un evento crudo, se aplica la tabla y se compara el resultado con lo que debería salir. Si dos de los valores se contradicen, hay un error en la tabla de valores, en la transformación o en el código que la aplica.

La tabla eventos_normalizados trae cinco eventos ya traducidos, con el resultado que traían de origen y el resultado normalizado. Se traduce con la tabla de valores de la pasarela, que consultas en valores_de_resultado_vpn.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador del evento normalizado cuyo resultado contradice el que traía de origen.

Ver pista de ayuda

Ejecuta `SELECT * FROM eventos_normalizados` y compara las dos columnas de resultado con la tabla de valores.

La tabla de valores de la pasarela traduce dos de los valores que emite. Pero la pasarela emite un tercero, que la tabla no recoge, con decenas de eventos al día. Un parser que no encuentra el valor en la tabla puede hacer tres cosas: forzarlo a uno de los valores conocidos, descartar el evento o dejarlo con un valor honesto de «no sé».

El esquema ECS admite para el resultado un valor para el intento cuyo resultado no se conoce desde el punto de vista de quien produjo el evento.

Responde para continuar

Un valor de resultado llega sin regla en la tabla. ¿Qué hace un mapeo honesto con esos eventos?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Conectando con la base…

Mapeo · pasarela VPN de Barichara Seguros hacia ECS
Consultas guardadas · datos ficticios, no se ejecuta nada

Tablas

mapeo_vpn

  • campo_origen
  • campo_destino
  • transformacion
  • ejemplo_origen
  • ejemplo_destino

valores_de_resultado_vpn

  • valor_origen
  • valor_destino
  • eventos_del_dia

eventos_normalizados

  • id
  • resultado_origen
  • outcome_normalizado
Ctrl + Enter
Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad