El registro tal como se guarda

Por defecto, un registro de Zeek es un archivo de texto con columnas separadas por tabulador. Empieza con líneas que comienzan por #: el separador, cómo se separan los elementos de un conjunto, la marca de campo vacío, la marca de campo sin valor, la ruta del registro y, sobre todo, #fields con los nombres de las columnas en orden. Las filas no llevan los nombres: se leen contra esa línea.

Hay dos marcas que se confunden. - quiere decir que el campo no tiene valor (por ejemplo, el servicio que Zeek no reconoció). (empty) quiere decir que el campo es un conjunto o lista que existe pero está vacío, como la lista de túneles de una conversación que no va por ningún túnel.

Consulta cabecera y conn_crudo.

ts es la hora en segundos desde el 1 de enero de 1970 en UTC, con fracción, por ejemplo 1805207467.412903. Zeek no guarda hora local: quien analiza la convierte. Un error común en un informe es dar la hora en UTC como si fuera la local, y dejar una diferencia de horas en la línea de tiempo.

Colombia usa UTC-5 todo el año, sin horario de verano. Para pasar de UTC a la hora local de la empresa se resta cinco horas. Convierte la marca de tiempo en UTC a la hora de pared, y luego réstale cinco.

Consulta conn_crudo: busca la fila del uid CsN3k9Ty4z63 y pasa su ts a hora de Colombia, descartando la fracción.

Como las filas no traen nombres, la columna que lees depende de contar bien. La línea #fields fija el orden: la primera columna es ts, la segunda uid, y así. Un corrimiento de una columna (por ejemplo, tomar los bytes de ida por los de vuelta) cambia el hallazgo sin que nada avise.

Cuenta en la línea #fields de cabecera.

Zeek también puede escribir cada fila como un objeto JSON, una por línea: los nombres de campo van en cada fila, así que no hace falta la cabecera, y es el formato que más se lleva a otras herramientas de búsqueda. Los campos son los mismos; solo cambia cómo se escriben.

Lo que cambia la pregunta es el registro que se abre. Consulta preguntas y piensa en qué registro vive cada cosa.

En una línea JSON, cada valor va junto a su nombre: "conn_state":"SF". Para leer una línea se busca el nombre del campo y se lee lo que sigue. No hace falta contar posiciones, pero sí tener claro a qué conversación pertenece la línea: se identifica por su uid.

Consulta conn_json y busca la línea con el uid Cj02b7Vb2c85.