CIM datamodel

                                                                   

Hace ya tiempo hice un  post, sobre los Data Model, pero me deje una cosa en el tintero, y creo que viene perfecto para poder hacer un post, y explicar uno de los grandes beneficios de los Data Model, la normalización.

Creo que es uno de los puntos clave cuando nos encontramos un entorno con varias fuentes, por ejemplo dos fabricantes distintos de firewall (F1 y F2 en este caso) y nuestro LDAP, nos podemos encontrar diferentes campos con el mismo significado pero diferente nombre, por ejemplo, puede que el campo usuario se llame user_name en el F1 user_n en el F2 y en el LDAP sea account_name.

Todo esto Splunk lo tiene más que pensado, y para ello dispone de una App llamada CIM, la cual dispone de una estructura de campos bastante grande, donde podemos apoyarnos para esta normalización, además dispone de una documentación bastante completa, donde nos muestra el nombre del campo en función del Data Model (Malware, DLP...). 

Por último, es importante tener en cuenta el almacenamiento de la aceleración de los Data Model, en este post lo explican bastante bien.