Qué registra Zeek

Un sensor de red que guardara todo el contenido necesitaría discos enormes y toparía con el cifrado. Zeek elige otra cosa: interpreta los protocolos que reconoce y resume cada actividad en una fila de texto con campos con nombre. Esa fila es un metadato: dice que hubo una conexión de tantos segundos, que se pidió tal nombre o que se transfirió un archivo de tal tamaño.

La consecuencia para quien detecta es doble: se puede buscar sobre meses de actividad con poco almacenamiento, y hay preguntas que estos registros no contestan, como qué decía un mensaje cifrado.

Abre registros_del_sensor y después ejemplo_de_un_flujo. La segunda tabla muestra una sola descarga vista en cuatro registros distintos. Para pasar de la fila de la conexión a la de la consulta de nombres o a la del archivo hace falta un campo que todas compartan, asignado por Zeek a cada conexión.

En la tabla registros_del_sensor hay una columna que dice si cada registro está cargado en el sensor. Un registro que no se genera no se puede consultar nunca: es una pregunta sin respuesta posible. Antes de diseñar una detección conviene saber con qué registros se cuenta de verdad.

Zeek tiene una plataforma para comparar lo que ve con una lista de indicadores propia: direcciones, dominios, huellas de archivo. Cuando hay una coincidencia, la anota en un registro aparte. Si esa plataforma no está cargada, el registro no existe y ninguna lista de indicadores sirve de nada en el sensor. Hay un registro de la tabla en esa situación.

Una analista del turno propone escribir una detección que diga si el archivo que alguien descargó por HTTPS contenía una hoja de cálculo con datos de clientes. Mira el flujo de ejemplo y lo que Zeek puede ver cuando la conexión va cifrada.