Errores comunes: duplicados, tipos y zonas horarias

Un guion que agrega valores de una fuente externa tiene que normalizar antes de comparar: quitar espacios, pasar los dominios a minúsculas, unificar la forma de las direcciones web. Los nombres de dominio no distinguen mayúsculas de minúsculas, así que dos formas del mismo nombre son el mismo indicador. Si el guion no normaliza, el evento acumula variantes del mismo valor y cada consumidor lo cuenta dos veces.

Lee feed-socio-21.txt y evento-9486.txt. Busca dos atributos que sean el mismo dominio escrito de dos formas.

Cada atributo declara un tipo, y la instancia comprueba que el valor tenga la forma de ese tipo. Un nombre de dominio declarado como dirección IP de destino no entra, y si el guion no lo valida antes, la única pista es una línea de rechazo en un registro que nadie mira. Ese indicador, que podría ser bueno, se pierde sin que nadie se entere.

Abre agrega_feed_horario.log y busca la línea que se rechaza en las dos ejecuciones por el mismo motivo.

MISP guarda las marcas de tiempo en UTC. Una hora escrita sin zona, como «22:30», no dice de dónde es, y cada programa la interpreta a su manera. El socio-21 escribe en hora local de Bogotá (UTC-5), lo dice en la cabecera de su listado, y el guion de la línea 22 convierte el texto en fecha sin indicar zona ninguna. El volcado del evento muestra cómo quedó guardado.

Para pasar de UTC-5 a UTC se suman cinco horas; si la suma pasa de medianoche, cambia el día.

A las 06:00 el guion volvió a mandar todo el listado y la instancia lo rechazó casi entero: ya estaba. El resultado final no es malo, pero el registro se llena de rechazos que esconden el que importa, y cada hora el guion repite el trabajo entero. PyMISP permite cambiar lo que pasa con un duplicado (el parámetro break_on_duplicate de add_attribute), pero eso no arregla el diseño: el guion no sabe qué agregó la vez anterior.