En el SIEM y en la línea de comandos

Tres lugares donde un analista escribe patrones, tres sintaxis parecidas:

grep -E no reconoce \d: la documentación de GNU grep dice que no forma parte de la sintaxis extendida, y para un dígito hay que escribir [0-9] o [[:digit:]]. Con grep -P sí funciona. Es el tipo de diferencia que hace que un patrón copiado del SIEM a la terminal no encuentre nada y no avise.

En una terminal, la tubería convierte un patrón en un informe. grep -o imprime solo el trozo que casó, no la línea entera; sort ordena; uniq -c cuenta repeticiones consecutivas; y un segundo sort -rn pone arriba el mayor.

La tubería completa es grep -oE 'from [0-9]{1,3}(\.[0-9]{1,3}){3}' auth.log | sort | uniq -c | sort -rn. Esa línea saca cada dirección que sigue a from, las ordena para que las repetidas queden juntas, las cuenta y las lista de la que más aparece a la que menos. Es una pregunta del tipo «¿qué origen intentó más?» sin una herramienta de análisis. Y recuerda: el patrón de IP describe la forma; no comprueba que el valor sea una dirección.

Un patrón mal escrito puede ser caro y, en el peor caso, no terminar. Si un grupo se repite y dentro del grupo hay otro cuantificador, como en (\w+\s?)+, el motor puede probar un número de combinaciones que crece de forma explosiva con el largo de la línea. Se llama retroceso catastrófico, y es una de las maneras en que una búsqueda con patrón deja ocupado un SIEM hasta que el sistema la corta.

La auditoría de búsquedas de este escenario anota, para cinco patrones sobre el mismo mes de autenticación, cuánto leyeron, cuánto tardaron y cómo terminaron. Los tiempos son los de este laboratorio, no una medida general.

busquedas_siem
| where estado != "completada"

Tres de las búsquedas devuelven exactamente las mismas 120514 líneas. Una empieza con el literal de lo que busca; otra lo rodea de .* por los dos lados, que obliga al motor a probar el patrón en cada posición de cada línea; la tercera usa una clase negada. Las tres son equivalentes en el resultado y no en el costo. Cuando un literal conocido está disponible, ponerlo al principio le permite al motor descartar rápido las líneas que no lo contienen.

busquedas_siem
| where coincidencias == 120514
| sort by segundos asc

El patrón que no terminó no se arregla subiendo el tiempo límite ni cortando datos: se reescribe. Las reglas que más se repiten son las mismas que se vieron en las salas anteriores: empezar por un literal, anclar cuando se sepa dónde está lo buscado, usar clases negadas en vez de .*, y no meter un cuantificador dentro de un grupo que ya se repite. Y antes de dejarlo como regla permanente, se prueba contra el mes de datos con el tiempo anotado.