Archivos transferidos y sus hashes

El registro de archivos es el único donde cada fila es un archivo, no una conexión. Para saber qué conexión lo transportó, la fila trae la lista de conexiones (conn_uids); y para saber qué petición lo pidió, el registro del protocolo guarda el identificador del archivo en una columna propia. Son dos identificadores distintos con dos usos distintos.

Las huellas (md5, sha1, sha256) solo aparecen si el sensor fue configurado para calcularlas: no es el comportamiento por defecto, y el costo se paga en procesador. Antes de confiar en que «no hay huella» significa «no pasó nada», conviene comprobar que el cálculo estaba activo.

Dos archivos con la misma huella tienen el mismo contenido, aunque se llamen distinto: la huella depende de los bytes, no del nombre. Eso sirve para seguir un documento que circula renombrado, y para saber cuántos equipos recibieron lo mismo.

Consulta files y busca una huella que aparezca en dos filas.

Las empresas mantienen listas internas de huellas de interés: instaladores no autorizados, documentos retirados, archivos que un aviso externo señaló. Cruzar el registro de archivos con la lista es una operación mecánica: se busca cada huella de la lista en la columna de huellas del registro. La coincidencia no es un veredicto; es el motivo para abrir un caso.

Consulta huellas_de_interes y busca cada una en files.

Sumar los bytes de los archivos que envió un mismo servidor externo sirve para medir cuánto se descargó de él. Si el servidor es un proveedor conocido, es normal; si no, el volumen es la primera medida de la importancia de la relación. En el registro, el servidor que envía aparece en la columna tx_hosts.

Consulta los archivos cuyo emisor es 203.0.113.30 y suma su tamaño visto.

Zeek deduce el tipo de un archivo por su contenido, no por su extensión. Cuando el nombre sugiere un documento y el tipo detectado es otro, hay una inconsistencia que vale la pena mirar: puede ser un error inocente, o alguien que le puso a un programa el nombre de un documento. Se anota la inconsistencia como hallazgo y se pregunta de dónde vino, sin abrir el archivo.

Compara en files la extensión del nombre con el tipo detectado.