Leer el registro de acceso de un directorio

Cada línea del registro lleva conn (la conexión) y op (la operación dentro de esa conexión). En un directorio ocupado, las líneas de conexiones distintas se mezclan en el archivo, así que no se lee de corrido: se sigue una conexión filtrando por su número. La línea que dice cómo terminó una operación es la que lleva el mismo conn y el mismo op.

Abre el formato del registro y el archivo.

ls registro
cat registro/como-leer-el-registro.txt
grep "conn=2046" registro/acceso-dir1.log

Una búsqueda que devuelve miles de entradas no es mala por sí sola: una cuenta de sincronización lo hace cada noche. Lo que se mira es quién la hace. Una cuenta de servicio con ese propósito está en la lista de cuentas de servicio; una cuenta de persona que recorre toda la rama de personas no tiene una razón de trabajo evidente.

cat registro/cuentas-de-servicio.csv
grep "alcance=sub" registro/acceso-dir1.log

El código de resultado 49 significa credenciales inválidas. Un fallo aislado es normal: alguien se equivocó al teclear. Lo que se investiga son los patrones: muchos fallos, sobre muchas cuentas, en poco tiempo. Contar es el primer paso. En este registro, un enlace fallido es una línea RESULT con err=49.

grep -c "err=49" registro/acceso-dir1.log

Una ráfaga de fallos sobre cuentas distintas, una sola vez por cuenta y desde el mismo origen, es el patrón de alguien que prueba una contraseña común contra muchas cuentas sin bloquearlas. En un registro, la pregunta que importa es qué pasó al final: si la ráfaga termina en un enlace correcto, esa cuenta es la que hay que contener primero.

Busca la ráfaga y sigue al mismo origen hasta su última conexión.

grep "203.0.113.77" registro/acceso-dir1.log

Cada fuente tiene un límite, y una investigación seria lo declara. Este registro guarda el filtro y cuántas entradas devolvió cada búsqueda. Para saber qué datos se llevó el cliente hay que apoyarse en otra cosa: el contenido de las entradas de esa rama o la telemetría de otra fuente. Decir «se llevó los datos de 4790 personas» sin esa prueba es afirmar más de lo que el registro permite.