Mapeo de logsource

El bloque logsource de una regla tiene tres campos con un sentido propio. category es un grupo lógico de registros, como la creación de procesos. product es el sistema o producto que los genera, como Windows o Linux. service es un subconjunto más concreto, como el registro de seguridad. Una regla puede usar uno solo o combinarlos.

La regla no dice en qué índice o tabla están esos registros en tu entorno. Eso lo traduce el pipeline: dada una combinación de categoría, producto y servicio, la transformación de cambio de logsource decide a qué tabla o índice apunta la consulta y, si hace falta, añade una condición (por ejemplo, filtrar por canal). Sin esa traducción la consulta mira donde no hay nada.

Abre el panel. reglas_logsource trae el logsource de diez reglas y mapa_logsource las combinaciones que el pipeline sabe traducir. Cruza las dos tablas. Si una transformación del pipeline limita su alcance con condiciones de regla y una regla no las cumple, la transformación simplemente no se le aplica: no hay error, y la regla sigue su camino sin el cambio que necesitaba.

Traducir bien el logsource no basta: la tabla de destino tiene que recibir datos. tablas_destino dice cuántos eventos entraron en los últimos siete días y si la ingesta está activa. Una regla puede estar perfectamente traducida y apuntar a una tabla vacía; desde la consulta, eso es indistinguible de «no ha pasado nada».

Una tabla sin eventos deja ciegas a todas las reglas que se resuelven a ella. Para saberlo hay que seguir el camino completo: del logsource de cada regla (reglas_logsource) a la fila del mapa (mapa_logsource) y de ahí a la tabla. Es el cálculo que hace falta antes de decidir qué tan urgente es reactivar la ingesta.

Hay dos problemas distintos. Uno es una regla sin traducción de logsource (silencioso, porque la transformación se omite). El otro es una traducción correcta hacia una tabla sin datos (silencioso, porque la consulta es válida y devuelve cero filas). Un pipeline puede pedir que una regla sin traducción falle con un mensaje; para lo segundo hace falta comprobar el estado de la ingesta, que no es asunto del conversor.