Analizar un evento crudo en campos

El análisis sintáctico (parsing) toma el texto crudo de un evento y lo divide en campos con nombre: la hora, el equipo, el programa, el usuario, la dirección. Se hace con reglas de extracción que dependen del formato de cada fuente. Si el formato cambia, la regla deja de encajar y el evento no se separa.

El texto original no se tira: los esquemas comunes guardan la línea completa (en Elastic Common Schema, event.original) para poder volver a ella cuando el análisis falló o cuando hay que mostrar la evidencia sin tocar. Lo que busca el analista de SOC es un evento que no se pudo analizar, porque queda en el índice sin los campos por los que la regla lo iba a encontrar.

Un mensaje de syslog (RFC 5424) empieza con un valor <N> llamado PRI. Ese número junta dos datos: PRI = facilidad × 8 + severidad. La severidad va de 0 (emergencia) a 7 (depuración), y para sacarla se toma el resto de dividir el PRI entre 8. Por ejemplo, <20> es 2 × 8 + 4: facilidad 2, severidad 4, que es una advertencia.

Abre crudo. La primera línea empieza con un PRI.

Una línea de sshd dice quién intentó entrar y desde dónde, pero en texto corrido. Comparar la línea cruda con su fila en parseado es la prueba de que el analizador sacó bien cada pieza. Si el campo que sale en la tabla no coincide con la línea, el error está en el análisis y no en la fuente.

Cuando una línea no encaja, un analizador bien configurado no inventa campos: la marca con una etiqueta de fallo y la deja con su texto original (en este laboratorio, la etiqueta se llama fallo_de_analisis). Contar esas marcas por fuente es la forma más rápida de notar que un cambio de formato rompió el análisis, antes de que alguien eche en falta una alerta.

Un equipo antiguo escribe la hora como Oct 13 09:14:22: sin año ni zona. Un analizador que no sabe la zona de la fuente supone UTC. Si el equipo escribe en hora local de Colombia (UTC-5), el evento queda anotado cinco horas antes de lo que ocurrió, y cualquier línea de tiempo que lo cruce con otras fuentes lo pone en el lugar equivocado.

La tabla zonas dice en qué zona escribe cada fuente y cuál supone el analizador.