DNS, HTTP y TLS

Cuando un equipo pregunta por un nombre y el servidor de nombres responde NXDOMAIN, la respuesta es que ese nombre no existe. Un puñado de estas respuestas es normal: erratas, equipos que ya no existen, consultas de descubrimiento. Muchas respuestas así hacia un mismo dominio padre, con nombres distintos y cortos, es otra cosa: nadie escribe a mano siete nombres distintos en medio minuto.

Abre dns_log y mira la columna query. Para comparar dominios hay que quedarse con el dominio padre, es decir, lo que queda quitando la primera etiqueta: api.ejemplo.example y cdn.ejemplo.example cuentan los dos para ejemplo.example. Cuenta nombres distintos, no consultas repetidas.

En HTTP sin cifrar, el campo user_agent suele repetirse: casi todo el parque usa el mismo navegador corporativo. Un valor que aparece una sola vez no es culpable por eso; es un punto de partida: hay que preguntar a quién pertenece. Ese valor y su servidor se pueden cruzar con el inventario de software.

En ssl_log, la versión de TLS decide qué se ve. En TLS 1.2 el servidor envía su certificado a la vista y Zeek lo anota en subject y issuer. En TLS 1.3 el certificado viaja cifrado, y esas columnas quedan vacías: Zeek sigue viendo la versión y el nombre de servidor que pidió el cliente, pero no quién respondió. Un guion en esas columnas no es un error del sensor.

El equipo quiere una detección que avise de peticiones a una ruta concreta de un servidor, por ejemplo la de administración. Compara http_log con ssl_log: en la primera hay una columna uri y en la segunda no.