Un modelo para todos los registros

Cada fuente describe lo mismo con palabras distintas: un portal escribe user=, un cortafuegos src=, un servidor DNS from. Si cada regla tuviera que conocer esos formatos, habría que reescribirla por fuente. Un analizador (parser) convierte la línea original en un evento del modelo unificado, y la regla se escribe una sola vez contra esos campos.

Los campos se agrupan en objetos con un papel: principal es quien realiza la acción, target es sobre quien o sobre qué se hace, y metadata describe el evento (su tipo, por ejemplo). Un inicio de sesión, una conexión de red y una consulta DNS son tipos de evento distintos del mismo modelo.

Abre la consola. registros_originales trae las seis líneas tal como llegan y eventos_udm los eventos que salieron de ellas; la columna origen los une. El evento E-1 es un inicio de sesión que el portal aceptó. En el modelo, la cuenta que entra se guarda en target.user.userid.

La conexión del cortafuegos que se bloqueó apunta a un puerto de destino. En el modelo, el puerto al que se conecta alguien vive en target.port, y la dirección de quien conecta, en principal.ip. Busca la conexión de red cuya acción fue bloquear.

El campo security_result.action resume lo que hizo el control: permitió o bloqueó. Una regla que busca «accesos bloqueados» no mira el formato original, mira este campo. Cuenta en eventos_udm, sin importar el tipo de evento, cuántos eventos tienen la acción de bloqueo.

Mira campos_que_llena_cada_analizador. El modelo define muchos campos, pero cada analizador llena solo los que su fuente trae. Si una regla exige un campo que el analizador de una fuente no llena, esa fuente nunca coincide con la regla, aunque el evento exista y sea exactamente el que se busca.