Lo que se pierde al normalizar

Cuando un campo de la fuente pasa al esquema, le puede pasar una de tres cosas. Se conserva: tiene un campo propio y llega igual. Se reduce: llega a un campo que agrupa varios valores de origen en uno solo, y se pierde el detalle. O se pierde: no tiene destino y desaparece del evento normalizado.

La reducción es la más traicionera, porque el dato «está» y parece completo. Un resultado de «fallo» que antes era «cuenta inexistente» o «contraseña errónea» sigue siendo cierto, pero ya no sirve para distinguir un barrido de cuentas de una persona que se equivoca de contraseña.

La forma de acotar el daño es conservar el evento original completo junto al normalizado. El esquema ECS tiene un campo para ello, que guarda el texto original sin indexarlo: no se puede buscar dentro de él, pero se puede recuperar para volver a extraer un dato cuando una regla nueva lo pida.

Abre el laboratorio y consulta la tabla evento_4625. Es un fallo de inicio de sesión de un controlador de dominio con cada campo crudo, el campo al que fue y su estado tras normalizar: conservado, reducido o perdido.

Algunos de los campos perdidos pueden parecer secundarios hasta que una regla nueva los necesita. El tipo de inicio de sesión, por ejemplo, distingue entre sentarse frente a un equipo, entrar a un recurso compartido o entrar por escritorio remoto: tres hechos con riesgos muy distintos que la palabra «fallo» no separa.

Una regla puede quedar ciega de dos maneras. En la primera pierde el campo del todo y deja de funcionar; se nota porque deja de alertar. En la segunda lo recibe reducido y sigue alertando, pero ya no separa dos situaciones que antes separaba: es la que no se nota.

La tabla reglas_del_catalogo dice, para cada regla, qué campo crudo necesita y en qué estado le llega.

Medir el costo de una normalización es contar. De las reglas del catálogo, cuántas reciben sus campos enteros, cuántas los reciben reducidos y cuántas ya no pueden funcionar. Esa cuenta es el argumento para decidir si se amplía el mapeo o se acepta la pérdida.

Aquí una regla cuenta como intacta cuando todos los campos que necesita están conservados.

Una de las reglas que ya no puede funcionar vigila un riesgo real del catálogo. Hay varias maneras de arreglarlo, y no todas son buenas.

Añadir un campo al mapeo tiene un costo: cada campo nuevo se almacena para todos los eventos y exige una definición, un tipo y sus pruebas. Pero el costo de no tenerlo es una regla ciega. La respuesta equilibrada es añadir al mapeo el campo que al menos una regla necesita, con su prueba, y no más.