Por qué normalizar

Normalizar es traducir cada fuente a un mismo vocabulario: los mismos nombres de campo, los mismos tipos y los mismos valores para decir lo mismo. No cambia lo que pasó; cambia cómo está escrito, de modo que una consulta o una regla se escribe una vez y sirve para todas las fuentes.

Sin esa traducción, el catálogo de detecciones se multiplica: una regla por fuente, cada una con su manera de nombrar al usuario, de leer la hora y de decidir qué es un fallo. Cuando una fuente cambia su formato, hay que tocar cada regla que la lee. Con un esquema común, lo único que se toca es la traducción de esa fuente, en un solo lugar.

El mismo dato recibe nombres distintos según quién lo escribe. Para el nombre de la persona, un sistema usa un campo del evento, otro lo deja dentro del texto libre de la línea y otro lo guarda dentro de un objeto anidado. Para leerlo en un SIEM, cada caso exige una forma distinta de extracción.

Abre el laboratorio y consulta la tabla eventos_crudos. Cada fila es el mismo fallo visto por una fuente distinta, y las columnas campo_usuario, campo_origen y campo_resultado dicen con qué nombre guarda cada una esos datos.

Dos eventos del mismo minuto no se pueden ordenar si no se sabe en qué zona horaria están escritos. Una hora sin zona es una hora a medias: quien la lee tiene que adivinar si es la local del servidor, la de quien consulta o la universal. Un error de cinco horas hace que una secuencia de eventos parezca otra, o que dos eventos simultáneos queden en días distintos.

Una de las cosas que hace un esquema común es fijar un único formato y una única zona para la hora. Antes de saber cuánto trabajo exige, hay que medir cuántas fuentes la entregan incompleta.

Los valores también cambian: mayúsculas, sufijo de dominio, comillas. Una consulta que busca una cuenta con una comparación exacta, que distingue mayúsculas de minúsculas, solo encuentra los eventos que la escribieron igual que ella. El resultado es peor que un error: es una respuesta que parece completa.

Para una regla de detección esto importa más que para una búsqueda manual: una regla que cuenta fallos por cuenta cuenta por separado a MROJAS y a mrojas, y cada una queda por debajo del umbral. La regla funciona y no ve nada.

Con la tabla eventos_crudos abierta, mira la columna usuario de los cuatro eventos.