Normalizar campos

Normalizar es convertir cada evento, al entrar al SIEM, a un conjunto común de campos y valores: la cuenta siempre en el mismo campo y con la misma forma, el origen siempre en otro, la acción con un vocabulario fijo. Existen esquemas públicos que proponen esos nombres; dos conocidos son ECS y OCSF, y cada SIEM y cada empresa adapta el suyo.

El beneficio para quien responde es directo: una sola consulta funciona en todas las fuentes, y los resultados se pueden cruzar. Sin normalizar, buscar una cuenta exige conocer cómo la escribe cada sistema (con mayúsculas, con dominio, con otro nombre de campo) y es fácil que una fuente se quede sin consultar y nadie lo note.

La pieza que hace el trabajo es la tabla de mapeo: para cada campo común, qué campo original de cada fuente lo alimenta. Se lee de izquierda a derecha: «el campo común X sale, en la fuente A, del campo Y». Una consulta sobre el campo común toca las tres fuentes porque el mapeo lo resolvió antes.

Leerla bien exige no confiar en los nombres. Dos campos que se llaman parecido pueden significar cosas distintas, y dos que se llaman distinto, lo mismo. La fila de la tabla es la que manda.

Un evento recibido no es un evento parseado. Si el formato de una fuente cambia (una actualización de la aplicación, una línea cortada en el camino), el parser deja de reconocer campos y el evento queda en el SIEM como texto sin estructura. Las consultas por cuenta o por origen no lo encuentran, y el SIEM no avisa: simplemente no aparece en los resultados.

Por eso la calidad del parseo es una medida que se revisa antes de fiarse de una consulta vacía: cuántos eventos llegaron de cada fuente, cuántos se parsearon y por qué fallaron los demás.

Una regla simple protege todo lo anterior: el evento original se conserva junto a los campos normalizados, sin tocarlo. El parser puede equivocarse, el mapeo puede cambiar con una versión nueva, y una traducción puede perder un matiz (el dominio de una cuenta, la mayúscula de un nombre). Con el original guardado se puede reprocesar, comprobar qué decía de verdad el registro y demostrarlo ante quien revise el informe.

Quien normaliza y descarta el original gana espacio y pierde la capacidad de corregirse. En la tabla de eventos normalizados del laboratorio hay una columna que lo recuerda.