Correlación entre registros por identificador

Para seguir un hecho a través de los registros se usan dos identificadores. El de conexión aparece en el registro de conexiones, en el de DNS (como el de la consulta), en el de HTTP y en el de TLS: une todo lo de una misma sesión. El de archivo aparece en el registro de archivos y en el del protocolo que lo trajo: une un archivo con su transporte.

El recorrido típico va de lo que se sabe a lo que se busca: del archivo a su conexión, de la conexión al origen, del origen al inventario y, hacia atrás, a lo que ese origen consultó antes.

El registro de archivos de este escenario no dice quién recibió cada archivo, pero sí la conexión que lo transportó. Con ese identificador se va al registro de conexiones y se lee el origen. Es el caso en el que un solo registro no alcanza y hay que cruzar dos.

Consulta files, toma la conexión del archivo tarifas-flete.xlsx y búscala en conn.

Antes de abrir una conexión a un anfitrión, un equipo suele consultar su nombre. El registro de DNS lo guarda con la dirección que devolvió, y esa dirección es la del destino en el registro de conexiones. No hay un identificador compartido entre la consulta y la conexión que la sigue: el hilo se arma comparando el origen, la dirección devuelta y el orden en el tiempo.

Busca en dns las consultas de esa dirección y elige la que devolvió la dirección de destino de la conexión del archivo.

Una cronología que dice «una dirección descargó un archivo» sirve poco: el responsable del caso necesita el nombre del equipo y su función. El inventario hace la traducción; y como el inventario cambia, se cita la fecha en que se consultó. Si la dirección se asigna dinámicamente, el nombre del equipo se verifica también con el registro del servicio de direcciones.

Traduce la dirección encontrada con inventario.

El tiempo entre dos eventos de una misma cadena cuenta una parte de la historia: una descarga que sigue en segundos a la consulta de nombres es lo normal de una persona que hace clic; una que ocurre mucho más tarde puede ser una tarea programada o una cadena de varios pasos. Se calcula con las horas de los registros, todas en UTC.

Resta la hora de la consulta de nombres a la hora de inicio de la conexión de la descarga.