Relojes y zonas horarias en el SIEM

Todo evento en un SIEM puede llevar dos horas. La hora del evento es la que escribió la fuente: cuándo ocurrió el hecho. La hora de ingesta la escribe el propio SIEM al recibirlo. Son cosas distintas, y mezclarlas es un error de método.

La línea de tiempo del caso se ordena por la hora del evento, corregida a UTC. La hora de ingesta sirve para otra cosa: medir el retraso de cada fuente y detectar problemas de recolección. Un evento que llega horas después de ocurrir indica que la fuente envía por lotes, que se atascó o que estuvo desconectada, y eso hay que conocerlo antes de decir en qué orden ocurrió todo.

El retraso de ingesta de un evento es la hora de ingesta menos la hora real del evento. Ambas deben estar en la misma zona, y la del evento ya corregida: si se resta una hora mal interpretada, el retraso sale inventado, por exceso o por defecto.

Un ejemplo ajeno al caso: una fuente escribe 10:00:00 sin zona, la zona real es UTC-5 y el SIEM la tomó como UTC. Su hora real es 15:00:00 UTC. Si el SIEM la ingiere a las 15:20:00 UTC, el retraso es de 20 minutos, no de cinco horas y veinte minutos. Primero se corrige la zona; después se resta.

En el laboratorio, la tabla de formatos dice cómo escribe y cómo interpreta la hora cada fuente.

Hay tres formas de escribir una hora y solo una es segura. Con Z o con desplazamiento (...-05:00) la zona viaja con la hora, y cualquiera puede convertirla. Sin zona la hora no tiene un valor absoluto: hay que saber en qué zona vive la fuente, y ese dato no está en la línea. Algunos formatos de syslog antiguos ni siquiera llevan el año. Un SIEM que no sabe nada de esa fuente la toma como UTC.

El resultado se reconoce porque rompe el sentido: una sesión remota que aparece cinco horas antes de la autenticación que debería haberla precedido. Esa incoherencia no es un misterio del atacante, es la pista de que una zona está mal interpretada. La zona local de Cumbrebella es UTC-5 todo el año.

La línea de tiempo del informe lleva siempre UTC y, junto a cada fuente, la zona real verificada y cualquier corrección aplicada: «el servidor de archivos escribe en UTC-5 sin zona en la línea; se sumaron 5 horas». Si alguna zona no se pudo comprobar, se dice y se anota la incertidumbre en lugar de esconderla.

Publicar la hora tal como la mostró el SIEM, o mezclar horas locales y UTC en la misma tabla, hace que el siguiente lector reordene mal los hechos y atribuya causas a efectos que ocurrieron antes.