OCSF: clases y categorías

En OCSF un evento pertenece a una clase (por ejemplo Authentication) y cada clase cuelga de una categoría (por ejemplo Identity & Access Management). Cada una tiene un número: category_uid y class_uid. Dentro de la clase, activity_id dice qué pasó (iniciar sesión, cerrar sesión) y status_id, cómo terminó. Un identificador más, type_uid, resume clase y actividad: según la documentación se forma como class_uid por 100 más activity_id.

La clase importa porque define qué atributos puede o debe traer el evento. Dos productos distintos que producen un inicio de sesión terminan con los mismos nombres de campo.

Abre catalogo_ocsf y eventos_ocsf. La tabla de eventos guarda solo el número de la clase, no su nombre: el nombre se busca en el catálogo. Es el cruce más corriente al leer datos en OCSF, y conviene hacerlo antes de decir de qué clase es un evento.

status_id tiene sus propios valores, que lista estados. Un recuento de fallos de autenticación no se hace sobre todos los eventos de la tabla: se hace sobre la clase de autenticación y con el estado de fallo. Mezclar clases infla la cuenta sin que nadie lo note.

La cooperativa tiene dos fuentes de autenticación de productos distintos, y las dos llegan ya traducidas a la clase Authentication. Alguien propone escribir la regla de fallos repetidos sobre class_uid, status_id y user.name, y no sobre los nombres que usa cada producto. Una regla así sigue sirviendo si mañana se cambia un producto, siempre que el mapeo del nuevo esté bien hecho.