ssl.log y files.log: lo cifrado y los archivos

ssl.log tiene una fila por conexión cifrada. Zeek no descifra nada: lee el saludo del principio, que viaja a la vista. De ahí salen la version del protocolo (TLSv12, TLSv13), la cipher o suite negociada, el nombre que el cliente pidió (server_name, la extensión SNI), si la sesión se resumed o se retomó, y si se established, es decir, si el saludo se completó.

Con eso se responde a «¿con qué nombre de servidor habló este equipo?», aunque no a «¿qué le dijo?». El contenido sigue cifrado.

En TLS 1.2 el servidor manda su certificado a la vista, y por eso ssl.log puede mostrar subject (a quién se emitió) e issuer (quién lo emitió). En TLS 1.3 el certificado ya viaja cifrado, y esas columnas quedan sin valor, con un guion. Las conexiones TLS 1.3 conservan el SNI en claro, por lo que siguen dejando el nombre de servidor.

Un certificado en el que subject e issuer son idénticos está firmado por sí mismo: nadie ajeno lo respalda. Se ve en servicios internos viejos y también en infraestructura improvisada, así que es un dato que se anota, no una condena.

Compara en ssl_log las conexiones de TLS 1.3 con las de TLS 1.2.

Con la columna server_name y las de certificado, una fila se vuelve una afirmación comprobable: «el equipo X pidió el nombre Y y el servidor presentó un certificado firmado por sí mismo». Eso se puede escribir en un informe con el uid como sostén.

Busca en ssl_log la conexión cuyo certificado tiene el mismo valor en subject y en issuer.

files.log tiene una fila por archivo visto en el tráfico sin cifrar: fuid es su identificador, tx_hosts quién lo envió, rx_hosts quién lo recibió, mime_type el tipo que Zeek reconoce por el contenido (no por el nombre) y seen_bytes cuántos bytes vio. El nombre filename puede faltar. El uid de la fila lo ata a la conversación que lo transportó.

Las huellas md5, sha1 y sha256 solo existen si se activa el análisis de hash de archivos; es una decisión de configuración y tiene su costo. En los extractos de esta sala vienen como marcadores evidentes HUELLA-FICTICIA-NNNN.

Un tipo application/x-dosexec es un programa ejecutable de Windows, y llega hasta la fila aunque el nombre no diga nada.

files.log dice qué archivo viajó, pero no por qué dirección web. Para eso está http.log: sus columnas resp_fuids y resp_mime_types listan los archivos que trajo la respuesta. Cruzando por fuid se obtiene el nombre de servidor y la ruta de donde se bajó el archivo. Es el mismo cruce que se hace por uid, con otra llave.

Busca en http_log la petición cuya respuesta trajo el fuid del ejecutable.