Registro de conexiones

El campo conn_state resume la conversación en un código corto. SF indica un establecimiento y un cierre normales. S0 indica que se vio el intento de conexión y que nadie respondió. REJ indica que el destino rechazó el intento. Los tres se parecen a primera vista y significan cosas distintas: que no haya respuesta puede ser un puerto filtrado o un equipo apagado, y un rechazo dice que el equipo está ahí y que el puerto está cerrado.

La tabla estados_de_conexion trae los significados tal como los documenta Zeek.

Abre conn_log y filtra por S0. Un equipo interno que lanza intentos hacia muchos destinos distintos en el mismo puerto y en pocos segundos es un patrón de reconocimiento de la red, o un escáner de inventario legítimo. Zeek no distingue la intención: lo que da es el patrón. Cuenta los intentos sin respuesta por origen. Hay otro origen con más intentos fallidos en total, pero de otro estado: no los mezcles.

orig_bytes es lo que envió quien abrió la conexión y resp_bytes lo que contestó el otro lado. Una conexión interna que envía mucho más de lo que recibe tiene el perfil de una subida. Eso puede ser un respaldo, una copia a un proveedor o una salida de datos: el registro no sabe cuál. Pero sí permite ordenar las candidatas para investigarlas.

Un programa que consulta un servidor cada cierto tiempo deja filas separadas por el mismo intervalo. Se le llama baliza. Muchos programas legítimos hacen lo mismo, como las actualizaciones o la sincronización, así que el ritmo regular es una pista y no una conclusión. Entre las filas de conn_log hay un origen que conecta siempre al mismo destino y puerto. Resta las horas de dos filas seguidas.

Con el conn.log y nada más, tienes tres hallazgos: un origen que sondea muchos destinos, una subida grande y un ritmo regular hacia un servidor externo. Nadie ha confirmado nada en los equipos. Redacta la línea que vas a poner en la nota para el turno.