Leer un archivo JSON de eventos con Python

JSON es un formato de texto para datos con estructura. Un objeto va entre llaves y trae pares "clave": valor; una lista va entre corchetes; los valores pueden ser cadenas, números, true, false, null, otros objetos u otras listas. Casi toda herramienta de seguridad que exporta eventos, alertas o inventarios sabe escribirlo.

En Python, json.load(f) lee el archivo abierto y devuelve objetos nativos del lenguaje: un objeto JSON pasa a ser un diccionario (dict), una lista pasa a ser una lista (list), y los textos y números pasan a str e int o float. Después, el campo de un evento se pide por su nombre, como en ev["host"].

Abre la consola y mira cómo empieza eventos.json y cómo termina.

Cada evento trae su identificador (id), la hora en UTC (ts), el equipo (host), la cuenta (usuario), el tipo de evento y una severidad con cuatro niveles: baja, media, alta y critica, escrita sin tilde. Como el archivo tiene un evento por línea, buscar un valor con grep equivale a filtrar la lista.

Ver todo con cat eventos.json es razonable con diez eventos; con diez mil ya no, y por eso se escriben guiones. El principio es el mismo: pedir a la lista los elementos cuyo campo vale lo que buscas.

En Python, ev["campo"] falla con un KeyError si ese evento no trae el campo. El mensaje de error dice la línea del guion y el nombre de la clave, pero no cuál de los eventos del archivo la causó. Para saberlo se mira lo que el guion alcanzó a imprimir antes de caer: el último evento impreso salió bien, y el que falló es el que viene justo después en el archivo.

La primera versión del guion imprime una línea por evento. Lee su salida guardada, hasta donde llega, y compárala con el archivo.

Un campo ausente no es un archivo roto: es un dato, porque dice que ese tipo de evento no lleva ese campo. Hay tres maneras de seguir leyendo: pedir el campo con ev.get("campo"), que devuelve None si falta en lugar de fallar; envolver todo en un try que descarta lo que falla; o editar el archivo. Solo la primera es honesta con la evidencia, y solo si el guion además deja constancia de lo que no encontró.

La segunda versión del guion usa .get. Lee su código y su salida guardada y fíjate en las dos últimas líneas.

Un valor puede ser a su vez un objeto. Aquí origen trae dos campos propios, ip y sitio, y en Python se llega a ellos encadenando nombres: ev["origen"]["ip"]. Es la forma típica de los registros de nube y de EDR, donde casi todo está anidado.