Qué registra Zeek y cómo se estructura

Zeek es un analizador de tráfico de red: lee el tráfico (en vivo o desde una captura guardada), entiende los protocolos y escribe registros, uno por tipo de actividad. Un archivo para las conexiones, otro para las consultas de nombres, otro para HTTP, otro para la negociación TLS, otro para los archivos. Cada fila describe un hecho, y cada columna, un dato de ese hecho.

La diferencia con un motor de firmas es de enfoque: el motor de firmas avisa cuando algo coincide con una regla; Zeek registra todo lo que ve, sospechoso o no, y es el analista quien pregunta después. Eso lo hace valioso para investigar y para saber qué era normal.

Consulta registros para ver qué representa una fila en cada archivo.

El plan de monitoreo de una empresa dice qué registros tienen que estar presentes cada día. Un archivo que falta no es un detalle: significa que durante ese día no hay evidencia de esa clase de actividad, y el analista no puede distinguir «no pasó nada» de «no se registró nada».

Compara politica_de_registro con archivos_del_directorio y busca lo que el plan exige y el directorio no tiene.

Casi todos los registros comparten unas pocas columnas. Una es la hora del evento; otras son los extremos de la conexión. Pero hay una que sirve de hilo conductor: un identificador asignado a cada conexión, que se copia en todos los registros que describen esa misma sesión. Con él se pasa de una consulta de nombres a la conexión que la siguió, y de ahí al archivo que viajó.

Consulta campos_comunes y lee la descripción de cada campo.

Los registros se acumulan: el de conexiones es el más grande, y a una red mayor corresponden más filas. Saber cuánto ocupa un día sirve para dimensionar el disco y la retención, y para notar un cambio brusco: un archivo que de pronto pesa el doble pide explicación.

Suma el tamaño de todos los archivos de archivos_del_directorio y no olvides los pequeños.

La primera columna de casi todos los registros guarda un número con decimales, no una hora legible. Es un instante expresado como segundos transcurridos desde una fecha de referencia. Interpretarlo mal desplaza todo el análisis: si se lee como hora local, las horas de los registros no cuadran con las del cortafuegos ni las del servidor de correo.