Qué registra cada herramienta

Zeek y Suricata leen la misma copia del tráfico, pero no escriben lo mismo. Zeek no guarda paquetes: los resume. Por cada tipo de actividad escribe un registro de texto aparte (uno para las conversaciones, uno para las consultas de nombres, uno para las peticiones web sin cifrar, uno para las negociaciones cifradas, entre otros) y cada fila lleva un identificador, el uid, que sirve para unir las filas de una misma conversación.

Suricata compara el tráfico con un conjunto de reglas y, cuando una coincide, escribe un evento de alerta en su archivo EVE, que está en formato JSON y lleva un evento por línea. Según cómo se configure, el mismo archivo también puede guardar otros tipos de evento (conversaciones, peticiones HTTP), pero eso es una decisión de quien lo instala: no viene escrito en la herramienta.

La diferencia práctica para el respondedor: Zeek responde «qué pasó en la red» aunque ninguna regla haya saltado; Suricata responde «qué regla coincidió» y solo mientras la regla exista.

Un sensor solo guarda lo que su configuración le dice que guarde. Un registro apagado no es un registro vacío: el dato pasó por el cable y no quedó en ninguna parte. Por eso lo primero de un caso es leer la configuración del sensor, no suponer.

En el laboratorio tienes la configuración de sbn-sen01: cada registro de Zeek y cada tipo de evento de Suricata, si está activado, qué es una fila y qué campos importantes trae. Léela entera antes de buscar nada.

Lo que se puede afirmar depende de lo que está encendido, y para saberlo hay que contar, no recordar. Un respondedor que supone que «Zeek lo registra todo» promete en el informe datos que nunca se guardaron.

Cuenta los registros de Zeek que este sensor sí escribe. Los de Suricata no entran en la cuenta: son otra herramienta con su propia lista.

Hay preguntas del incidente que los dos programas no pueden contestar porque lo que preguntan no viaja por el cable: qué proceso abrió una conexión, con qué cuenta de usuario, qué había en un archivo que viajó cifrado. Para eso se pide el registro del propio equipo o se declara que no se tiene.

En el laboratorio, la tabla preguntas_y_fuentes junta las preguntas de un respondedor con la fuente que cada una necesita. La respuesta honesta a una pregunta sin fuente no es un «probablemente»: es «no se puede afirmar con estos registros».