Lookups y correlación entre fuentes

Un lookup es una tabla fija que el SIEM guarda aparte de los índices: el inventario de equipos, la lista de empleados con su área, las direcciones de los proveedores. No son eventos; son el contexto que les falta. | inputlookup empleados lee la tabla entera, y empieza con una barra porque no parte de una búsqueda.

| lookup empleados usuario OUTPUT area pais_habitual hace el trabajo útil: para cada fila, busca su usuario en la tabla y le pega las columnas que pidas detrás de OUTPUT. Si el campo se llama distinto en la tabla y en el evento, se dice con as: lookup empleados usuario as cuenta OUTPUT area. Con el país habitual pegado a cada fila, comparar el país de la conexión con el de la persona es un where pais!=pais_habitual.

La VPN sabe qué cuenta abrió qué túnel y qué dirección interna le dio. El cortafuegos interno sabe qué hizo cada dirección dentro de la red, pero no conoce a nadie por su nombre. La dirección del túnel es la llave que une las dos fuentes.

join hace la unión como la harías en SQL: index=fw src_ip=… | rename src_ip as ip_tunel | join ip_tunel [search index=vpn accion=tunel | fields ip_tunel usuario]. Lo que va entre corchetes es una subbúsqueda, y tiene topes de filas y de tiempo: lo que pasa del tope se descarta sin que la búsqueda falle. Por eso, con fuentes grandes, se prefiere buscar en las dos a la vez y juntar con stats: (index=vpn accion=tunel) OR index=fw | eval ip=coalesce(ip_tunel, src_ip) | stats values(usuario) as usuario values(dest_host) as destinos sum(bytes) as bytes by ip. coalesce crea una sola columna con la dirección, venga de donde venga, y stats agrupa por ella lo que trae cada fuente.

Con el lookup aplicado, esta noche hay dos cuentas que se conectaron desde fuera de su país habitual. El país solo no decide: la gente viaja, y una regla que alerte por cada viaje acaba silenciada. Lo que separa un viaje de un acceso indebido está en las otras señales que ya tienes: cuántos inicios de sesión hicieron falta, qué pasó con el segundo factor y a qué hora.

Busca en la VPN la dirección interna que recibió el túnel de la sesión de madrugada y llévala al índice del cortafuegos interno. Una de sus conexiones movió cientos de megas.