Una sesión sospechosa de punta a punta

Los dos programas del sensor no comparten identificador: el flow_id de Suricata y el uid de Zeek son valores distintos que cada uno asigna por su cuenta. Lo que sí tienen en común es lo que describen: la misma conexión, con las mismas direcciones y los mismos puertos, a la misma hora.

Por eso, para pasar de una alerta a la conversación de Zeek que la contiene se compara la cuaterna de origen, puerto de origen, destino y puerto de destino, y se comprueba que las horas encajen. El puerto de origen es lo que distingue una conexión de otra entre el mismo par de equipos.

El sensor ve direcciones y puertos; no ve programas. Para saber qué proceso abrió una conexión hay que pedir el registro del propio equipo. El agente del puesto anota los procesos que se inician y las conexiones salientes de cada proceso, con su cuenta de usuario, y se une al sensor por el equipo, el destino, el puerto y la hora.

Esa unión es la que convierte «un equipo habló con una dirección» en «este programa, lanzado por esta cuenta, habló con esa dirección». Aun así, dice quién abrió la conexión, no qué se dijo dentro.

Una persona que navega abre conexiones a ratos distintos. Un programa que consulta a su servidor lo hace con un ritmo fijo. Medir el tiempo entre conexiones consecutivas es una operación sencilla con las horas del registro, y el resultado es un dato que se puede escribir en el informe, sin interpretar la intención.

Escribir una conclusión sobre la intención del programa sería ir demasiado lejos; escribir el intervalo medido, en segundos, y las veces que se repitió en el registro es exactamente lo que dice la evidencia.

La pregunta de la dirección siempre llega: cuánto salió. Se contesta sumando orig_bytes de todas las conversaciones de ese equipo hacia ese destino, sin dejar fuera las breves por pequeñas ni la grande por obvia. La suma incluye los dos tipos porque el informe tiene que decir el total y también cómo se compone.

Un recordatorio de oficio: los bytes de la conversación son bytes de carga; lo que contenían no está en ningún registro de esta sala.

Reconstruir la sesión termina en una frase para el informe. La que sirve nombra cada hecho con su fuente y deja sin afirmar lo que ninguna fuente prueba. Entre la lectura de archivos del servidor y la subida hacia fuera hay una cercanía en el tiempo y en el tamaño, y esa cercanía es una pista; no es una prueba de que los datos de uno sean los del otro.

Hay tres fuentes: el sensor, que ve las conversaciones; el agente, que ve el proceso, y el registro de direcciones, que dice de quién era cada dirección. Cada afirmación se apoya en una de ellas.