Qué ve Zeek y qué no

Zeek es un analizador de tráfico de red que trabaja sobre una copia del tráfico. No guarda los paquetes: los lee, entiende el protocolo y escribe un resumen de lo que ocurrió, en registros de texto separados por tipo de actividad. Por eso ocupa mucho menos espacio que una captura y se puede consultar durante meses.

El precio de ese resumen es que el contenido no está. Zeek puede decir que dos equipos hablaron durante dos minutos y que uno mandó 25100 bytes; no puede reproducir lo que decían. Cuando el caso exige bajar al paquete, hay que haber capturado antes, que es lo que se ve al final del módulo.

Consulta registros y fíjate en la columna una_fila_por.

Un turno de SOC se hace preguntas muy repetidas: ¿con quién habló este equipo?, ¿qué sitio pidió?, ¿qué archivo bajó?, ¿cuál fue la petición exacta? Cada una se contesta en un registro distinto, y saber cuál abrir ahorra media hora. Todos comparten el campo uid, el nombre propio de la conversación, que es lo que luego permite saltar de uno a otro.

Hay una pregunta que se repite en casi todos los casos: antes de que un equipo hable con un sitio, casi siempre tuvo que averiguar dónde queda. El sitio que pidió, y lo que se le contestó, queda en un registro propio.

Zeek ve lo que pasa por el cable que lo alimenta. Si el sensor cuelga del puerto espejo del conmutador de núcleo, ve lo que cruza ese conmutador; si dos servidores hablan entre sí por otro conmutador de la sala, no queda registro. Cada segmento de la red tiene su cobertura, y lo primero que hace un analista al abrir un registro vacío es comprobar si el sensor estaba mirando ahí.

Un registro vacío en un sitio sin sensor no significa que no pasó nada: significa que nadie lo anotó.

Casi todo el tráfico de internet va hoy cifrado con TLS. Zeek no lo descifra, pero el saludo con el que empieza la conversación viaja a la vista: el nombre del servidor que el cliente pidió, la versión de TLS y los bytes que se mueven. Con la versión 1.3 incluso el certificado del servidor va cifrado.

Eso da para mucho. Se puede saber a qué sitio habló un puesto y cuánto movió, y comparar con lo que se espera. No se puede saber qué páginas abrió ni qué escribió en un formulario. Para esas preguntas hay otras fuentes, como el registro del proxy, si existe.

Mira tls_visto.