🔒 Registro cerrado · Apertura oficial próximamente · Acceso exclusivo para alumnos activos
Iniciar SesiónLeer una tabla de mapeo
5 tareas · 45 min · Principiante
El mapeo es el documento que dice cómo se traduce una fuente a un esquema: qué campo de la fuente va a qué campo del esquema y qué se le hace por el camino. Quien hereda un SIEM la lee antes de confiar en un solo dato normalizado. Aquí lees la tabla de la pasarela VPN de Barichara Seguros hacia ECS, cuentas qué transformaciones pide, encuentras un evento mal traducido y decides qué hacer con un valor que la tabla no previó.
Objetivo de la sala
El mapeo es el documento que dice cómo se traduce una fuente a un esquema: qué campo de la fuente va a qué campo del esquema y qué se le hace por el camino. Quien hereda un SIEM la lee antes de confiar en un solo dato normalizado. Aquí lees la tabla de la pasarela VPN de Barichara Seguros hacia ECS, cuentas qué transformaciones pide, encuentras un evento mal traducido y decides qué hacer con un valor que la tabla no previó.Una tabla de mapeo tiene una fila por campo de la fuente y, como mínimo, tres cosas: el campo de origen, el campo de destino en el esquema y la transformación que lo convierte. Una buena tabla añade un ejemplo antes y después, para que quien la lea pueda comprobarla con un evento real.
Hay tres destinos posibles para un campo de origen. Va a un campo del esquema; va a un campo libre, de tipo etiqueta, porque el esquema no tiene dónde ponerlo pero alguien podría necesitarlo; o se descarta, y entonces la tabla debe decirlo con todas las letras, no dejar la fila en blanco. Una fila vacía es una pérdida que nadie decidió.
Responde para continuar
Un campo de la fuente no tiene un equivalente en el esquema. ¿Qué debe decir la tabla de mapeo?
Abre el laboratorio y consulta la tabla mapeo_vpn. Tiene una fila por cada campo de la pasarela VPN y una columna, transformacion, que dice qué se le hace.
Descartar es una decisión legítima: guardar todo cuesta almacenamiento, y un campo que ninguna regla usa es ruido. Lo que no es legítimo es descartar sin saberlo. Cada descarte debería tener detrás la lista de reglas que no lo necesitan.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
Escribe el nombre del campo de origen de la pasarela VPN que se descarta y no llega al esquema.
Ver pista de ayuda
Ejecuta `SELECT * FROM mapeo_vpn` y busca la fila cuyo destino es «(sin destino)».
Las filas de un mapeo se reparten en copias directas y en transformaciones. La copia es el caso fácil: el valor sale tal cual. La transformación es donde viven los errores: una conversión de unidad, de tipo, de mayúsculas o de valores. Cada una es un punto donde la normalización puede equivocarse sin avisar, y por eso cada una necesita sus casos de prueba.
Un buen primer paso al heredar un mapeo es contar dónde están las transformaciones: ahí se concentran las pruebas.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
¿Cuántas filas de `mapeo_vpn` piden una transformación del valor o del tipo, y no son una copia ni un descarte?
Ver pista de ayuda
Ejecuta `SELECT * FROM mapeo_vpn` y cuenta las filas cuya transformación no es copia ni se descarta.
Un mapeo se comprueba con eventos. Se toma un evento crudo, se aplica la tabla y se compara el resultado con lo que debería salir. Si dos de los valores se contradicen, hay un error en la tabla de valores, en la transformación o en el código que la aplica.
La tabla eventos_normalizados trae cinco eventos ya traducidos, con el resultado que traían de origen y el resultado normalizado. Se traduce con la tabla de valores de la pasarela, que consultas en valores_de_resultado_vpn.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
Escribe el identificador del evento normalizado cuyo resultado contradice el que traía de origen.
Ver pista de ayuda
Ejecuta `SELECT * FROM eventos_normalizados` y compara las dos columnas de resultado con la tabla de valores.
La tabla de valores de la pasarela traduce dos de los valores que emite. Pero la pasarela emite un tercero, que la tabla no recoge, con decenas de eventos al día. Un parser que no encuentra el valor en la tabla puede hacer tres cosas: forzarlo a uno de los valores conocidos, descartar el evento o dejarlo con un valor honesto de «no sé».
El esquema ECS admite para el resultado un valor para el intento cuyo resultado no se conoce desde el punto de vista de quien produjo el evento.
Responde para continuar
Un valor de resultado llega sin regla en la tabla. ¿Qué hace un mapeo honesto con esos eventos?
Conectando con la base…
Tablas
mapeo_vpn
- campo_origen
- campo_destino
- transformacion
- ejemplo_origen
- ejemplo_destino
valores_de_resultado_vpn
- valor_origen
- valor_destino
- eventos_del_dia
eventos_normalizados
- id
- resultado_origen
- outcome_normalizado
El resultado aparece aquí.
fila(s)
Whoami-Labs Pro
Whoami-Labs Pro utiliza cookies
Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad
Preferencias
Configuraciones de cookies
Elige qué categorías permitir. Las esenciales siempre están activas. Consulta la Política de Privacidad.
Esenciales
Siempre activas · sesión, CSRF, tema y esta preferencia
Necesarias para iniciar sesión, proteger formularios (CSRF) y recordar tu elección de cookies y tema. Sin ellas la plataforma no funciona de forma segura.
Analíticos
Hoy no activos en la plataforma; listos para cuando se conecten
Nos ayudan a entender uso de cursos y páginas. Si los activas, se usarán cuando conectemos analítica; hasta entonces no se carga ningún tracker.
Marketing
Hoy no activos; campañas futuras solo con tu permiso
Comunicaciones o campañas. No activos hoy en la plataforma; quedarán listos si los conectamos y solo si los permites.