Mapear de ECS a OCSF

En ECS un inicio de sesión fallido lleva event.category: authentication, event.action: logon y event.outcome: failure: tres valores de texto. En OCSF el mismo hecho es un evento de la clase Authentication, con activity_id y status_id numéricos. Por eso el mapeo tiene tres tratamientos: copiar (el valor se conserva y solo cambia el nombre del campo), traducir (el valor de texto pasa a un número de la enumeración) y resolver sin destino (no hay campo equivalente y hay que decidir).

El tratamiento que se olvida es el tercero, y es el que hace perder datos sin que ningún error lo avise.

Abre mapeo. Una fila con guion en campo_ocsf es un campo del origen que no tiene destino definido. Si el trabajo se da por terminado así, ese dato desaparece del evento nuevo aunque en el origen se vea.

Un mapeo se prueba con eventos, no solo se lee. Aplica event.outcome a los seis de eventos_ecs y comprueba cuántos pasarían a tener status_id igual a 2. Si la cuenta no coincide con la del origen, la traducción de valores tiene un error antes de que nada llegue al lago.

Según la documentación, el evento base de OCSF prevé un objeto unmapped para los atributos que el esquema no cubre. Descartar el campo en silencio es la opción más rápida y la que más cuesta después, cuando alguien pregunte por qué los eventos nuevos ya no distinguen el turno. Inventar un atributo en la clase rompe el acuerdo que se quería conseguir con un esquema común.