Mapeo de entidades

Una entidad se identifica con uno a tres identificadores. Un identificador fuerte basta por sí solo para señalar a una entidad única; uno débil solo la identifica combinado con otros. Una cuenta con solo Name (el prefijo del correo) es débil: dos personas en dominios distintos pueden compartirlo. Un equipo con solo HostName también. Y una dirección IP es fuerte si es global, pero débil si es privada: la 10.20.4.37 de una red puede ser la 10.20.4.37 de otra, y por eso necesita además un AddressScope.

Compara mapeo_actual con salida_de_la_regla y con identificadores. Busca el mapeo de una dirección que solo sería fuerte con un alcance añadido.

Para convertir el mapeo de una cuenta en fuerte, la combinación documentada más común es Name más UPNSuffix: el prefijo del correo y lo que va a la derecha de la arroba. En la consulta ya existe una columna con ese segundo dato, pero el mapeo actual no la usa. No hace falta cambiar la consulta, solo añadir un identificador al mapeo de la cuenta (hasta tres por mapeo).

El mapeo no solo alimenta la ficha de la alerta: también decide qué alertas se agrupan en un incidente cuando la regla agrupa por entidades coincidentes. Si la cuenta se identifica solo por Name, dos alertas de personas distintas con el mismo prefijo se verían como la misma cuenta. El resultado es un incidente que mezcla a dos personas, y el analista termina investigando como una sola historia dos historias sin relación.

Una regla admite hasta diez mapeos y una alerta puede identificar hasta cierto número de entidades en total, repartidas por igual entre los mapeos de la regla. Cada mapeo cuenta por separado, incluso si dos son del mismo tipo (una IP de origen y una IP de la pasarela son dos mapeos). Si una consulta devuelve más valores que los que caben, los sobrantes simplemente no se reconocen como entidades.

Calcula cuántas entidades puede identificar cada uno de los mapeos de la regla de la sala, con los que tiene hoy configurados. Usa mapeo_actual y limites_de_mapeo.

Cuando una cuenta se identifica solo por Name y el valor es uno de los nombres genéricos integrados de los sistemas, la entidad se descarta de la alerta: ni se agrupa ni abre una ficha. La plataforma publica la lista exacta de esos nombres. Revisa la comparación con cuidado: lo que cuenta es el valor tal como llega y la lista tal como está escrita.

Cuenta cuántas de las ocho filas de muestra_de_cuentas coinciden con nombres_genericos.