Por qué una capa intermedia

Una tubería de datos de seguridad recibe los eventos de las fuentes, los guarda en una cola mientras el destino está ocupado, los transforma (separa campos, descarta, enriquece) y los entrega a uno o varios destinos. Los recolectores abiertos más conocidos hacen justo eso con piezas intercambiables: entradas que reciben, procesadores que transforman y salidas que entregan.

La ganancia no es de detección directa. Es de control: un solo lugar donde cambiar el destino, un colchón para los cortes del SIEM y la posibilidad de repartir el mismo evento a un destino caro y a uno barato.

Antes de poner una tubería hay que saber cuánto pasa por ella. La tabla fuentes trae el promedio de eventos de un día hábil de cada fuente, el formato en que habla, a dónde manda hoy y si guarda sus eventos cuando el destino no responde. El tamaño del flujo dimensiona la cola y el costo: mira cuál fuente domina.

El 9 de noviembre el SIEM no aceptó eventos de 01:00 a 03:00 (tabla mantenimiento). Una fuente con búfer local guarda lo que no pudo entregar y lo manda al volver el destino; una sin búfer lo pierde. Con una tubería, el búfer vive en un solo lugar y deja de depender de cada fuente.

Cuenta cuántas de las seis fuentes no guardaron nada durante esas dos horas.

Una tubería no es gratis: es un servicio más que se despliega, se vigila y se mantiene. Y concentra el riesgo: si queda mal configurada, todas las fuentes que pasan por ella quedan afectadas a la vez, y el SIEM no se entera, porque recibe menos y no sabe qué debería haber recibido.