El registro de conexiones de Zeek en la planta

El registro de conexiones (conn.log) tiene una línea por conexión, no por paquete. Cada línea lleva una marca de hora, un identificador único (uid) que sirve para unirla con los demás registros de Zeek, las direcciones y los puertos de origen (orig) y de destino (resp), el protocolo de transporte, el servicio que el analizador reconoció, la duración, los bytes enviados en cada sentido y el estado en que terminó la conexión.

Dos detalles importan en una planta. El primero: Zeek anota la línea cuando la conexión termina o se cierra por tiempo, así que una conversación larga entre la pantalla del operador y el PLC aparece como una sola línea de muchos minutos, no como miles. El segundo: un guion en una columna no es un cero, es un dato que Zeek no pudo llenar, como el servicio de una conexión que nunca llegó a hablar.

El estado de la conexión (conn_state) resume cómo terminó. SF es el final normal: se estableció y se cerró bien. S0 es un intento de conexión que se vio y al que nadie respondió. REJ es un intento rechazado. Una conexión SF de la pantalla del operador con su PLC, repetida hora tras hora con casi los mismos bytes, es el ritmo normal de la planta; las que se salen de ese ritmo son las que merecen un segundo vistazo.

En la mañana que tienes delante, casi todas las líneas son del ritmo de siempre. Hay un intento desde la red de oficina hacia un controlador de la planta al que ningún equipo contestó. Búscalo por su estado y quédate con su identificador, que es el que se pasa a quien investigue.

Una dirección es un dato; un equipo es alguien a quien llamar. Para escalar un hallazgo hace falta el nombre, el rol y la zona, y eso lo da el inventario. Es la parada obligada antes de abrir un ticket, y es también una comprobación: si la dirección no está en el inventario, ese hecho ya es un hallazgo.

Toma la conexión de la tarea anterior, mira a qué dirección de la planta se intentaba llegar y ponle el nombre que le da el inventario.

Un intento sin respuesta desde la oficina hacia un PLC dice varias cosas a la vez y no dice otras. Dice que un equipo de la oficina intentó hablar con la planta, algo que la línea base de una planta bien separada no debería contener. No dice que alguien haya entrado: la conexión no se estableció, y por eso no hay servicio, ni duración, ni bytes. Tampoco dice que sea un ataque: puede ser una configuración olvidada en un puesto, un programa que busca su servidor o una prueba de alguien de la casa.

El trabajo del analista es no quedarse en ninguno de los dos extremos. Ni cerrarlo como ruido, ni declararlo incidente: anotarlo, averiguar de quién es el equipo de origen y preguntar a operaciones si esperaban esa conversación.