Normalización y esquemas

Un esquema común es un conjunto acordado de nombres y significados de campos: src_ip para la dirección de origen, actor para quien hizo la acción, accion para lo que hizo. Existen esquemas abiertos que se pueden tomar como base (por ejemplo OCSF o ECS) y cada SIEM trae el suyo; lo importante es que el equipo escoja uno y lo respete.

La ventaja se ve al escribir reglas. Una regla sobre actor y accion sirve para todas las fuentes que se mapearon; sin normalizar, hay una regla distinta por cada nombre original y se olvida alguna.

Abre el mapa de campos de Ribera Norte. Cada fila dice cómo se llama un dato en su fuente y cómo se llamará en el SIEM. Filtra por el campo común que identifica a quien hizo la acción.

No todo cabe en los tres campos de siempre. Los inicios de sesión de Azure traen el nombre del programa al que se entró, un dato que los registros de actividad de las cuentas no tienen. Un buen esquema le da un nombre propio y no lo mete a la fuerza en un campo que significa otra cosa.

Dos fuentes de Ribera Norte escriben la hora en UTC; el portal heredado la escribe en hora local con un desfase. Si el SIEM guarda ese texto sin convertirlo, un evento del portal parecerá haber ocurrido horas antes o después de los demás y la línea de tiempo de una investigación saldrá torcida.

La conversión a UTC es una suma: un valor en UTC-05:00 va cinco horas por detrás del UTC, así que para llegar a UTC se le suman cinco. Si la suma pasa de medianoche, cambia también el día.

Cuando un parser convierte la hora al formato común, puede sobrescribir el valor original o guardarlo al lado. La segunda opción cuesta unos bytes por evento y evita discusiones cuando alguien dude de una conversión.