Marcas de tiempo y zonas horarias

Cada evento tiene al menos dos instantes: la hora del evento, que escribe la fuente, y la hora de ingesta, que pone el SIEM al recibirlo. La diferencia entre ellas es el retraso. Una detección debería razonar con la hora del evento, no con la de llegada; pero la de llegada es la única que no depende del reloj de la fuente.

Para comparar relojes hay que llevarlos a una misma zona. La práctica habitual es guardar todo en UTC y convertir solo al mostrar.

Una hora con la letra Z al final, o con un desplazamiento como -05:00, trae su zona escrita; una hora sin nada no la trae, y alguien tiene que decidir en qué zona se lee. America/Bogota es UTC-5 todo el año: Colombia no cambia de hora en verano.

Consulta la tabla eventos. Para pasar una hora local de Bogotá a UTC se suman cinco horas.

El evento E-02 viene del cortafuegos, cuya hora no declara zona. El inventario dice en qué zona corre su reloj; consulta la tabla relojes. Para calcular su retraso hay que leer la hora en esa zona, no en la del SIEM ni en UTC.

Si el parser leyera todas las horas sin zona como UTC, los eventos del cortafuegos y de la nómina parecerían llegar con unas cinco horas de retraso: un retraso que no existe. El error es silencioso, porque las horas siguen teniendo forma de hora.

Con cada evento leído en su zona real, solo una fuente tiene un retraso mayor de quince minutos en esta muestra.

La zona de una fuente que no la declara se resuelve una vez, en el parser, con un dato verificado: el inventario de relojes. No se corrige regla por regla ni «a ojo» en cada consulta.