107904 Una fuente de seguridad deja de hablar y su silencio parece calma

fuente_de_eventos_muda

El servicio tiene este código declarado, pero todavía no lo emite.

Clase común a toda la flota (familia «dependencia»): El proveedor RECHAZÓ legítimamente (4xx). El fallo está en la petición o en la configuración de quien llama.

Qué ha pasado

Falco, osquery o el journal dejan de enviar. Las reglas que leen de esa fuente se callan, y ese silencio es indistinguible de "no ha pasado nada malo".

Cómo se soluciona

Comprobar el servicio de la fuente y el agente que envía a Loki. El caudal normal es de ~3.776 líneas/h en falco, ~72 en osquery y ~53.444 en el journal: dos horas en blanco no es una racha tranquila.

Qué hacer mientras tanto

Asumir ese plano como no vigilado mientras dure.

Ya costó tiempo

30-ago-2026: el WAF de dos hosts de producción estuvo SEIS DÍAS sin ejecutarse y el síntoma fue cero detecciones — exactamente lo que se ve cuando todo va bien. No era mi fuente, pero destapó que mis diez reglas de seguridad tampoco vigilaban las suyas.

Dónde se lanza

central/loki/rules/fake/runtime.yaml — FuenteFalcoMuda, FuenteOsqueryMuda, FuenteJournalMuda

Cómo se lee el código

1: origen: Fortiseg
07: servicio: fleet-telemetry
904: clase común a toda la flota: El proveedor RECHAZÓ legítimamente (4xx)