Leer una alerta de firma

Una alerta de Suricata se lee por grupos de campos. Cuándo: la hora del evento. Entre quién: dirección y puerto de origen y de destino, y el protocolo. Con qué regla: signature_id (el sid), la revisión (rev) y el texto de la firma. Con qué importancia: severity, donde 1 es la prioridad más alta. Y qué hizo el sensor: el campo action.

Una regla es un patrón escrito por una persona. Cuando coincide, lo único que se sabe es que el tráfico cumplió las condiciones que esa persona describió. Puede coincidir con un ataque y también con una aplicación legítima que se comporta de forma parecida.

Esa frontera es la que hay que dejar clara en un informe: la alerta es un hecho (la regla coincidió), la conclusión sobre el equipo es otra cosa y se construye con más evidencia.

Cada alerta lleva un flow_id, que identifica la conversación dentro de Suricata. Sirve para reunir todos los eventos de esa conversación y, sobre todo, para encontrarla de nuevo sin confundirla con otra del mismo origen y destino. No es el uid de Zeek: son identificadores distintos y un sensor no traduce el uno en el otro.

En el laboratorio tienes las cinco alertas de la tarde. Dado el identificador de una conversación, la pregunta es qué regla coincidió con ella.

La severidad no la mide el sensor: la escribe el autor de la regla y refleja cuánta atención creyó que merecía lo que describe. Una severidad 1 es la prioridad más alta. Sirve para ordenar la cola de trabajo, no para medir el daño: una alerta de prioridad 1 puede ser una prueba autorizada, y una de prioridad 3 puede ser la única pista de algo serio.

Aun así, en la primera lectura de un conjunto de alertas conviene saber cuál es la de más prioridad y qué equipo recibió ese tráfico, para decidir con qué conversación se empieza.

La regla de certificado vencido tiene prioridad 3 y es fácil pasarla de largo. La disciplina correcta es otra: la prioridad ordena el trabajo, no lo sustituye. Antes de decidir sobre una alerta se lee la regla (qué busca) y se consulta la conversación en los registros de Zeek, que dicen cuánto duró, cuántos bytes se movieron y cómo terminó.

Descartar sin mirar tiene un costo que no se ve: si la alerta era la única huella de algo, el informe afirmará que no hubo nada cuando lo cierto es que nadie lo miró.