Registros unificados de planta y nube

Investigar con seis consolas distintas es lento y propenso a errores. La alternativa es enviar todo a un colector común y normalizarlo: mismo formato de hora, mismos nombres de campo para origen, destino y acción. Lo más importante es la hora. Si una fuente escribe en UTC y otra en hora local sin decir cuál, ordenar los eventos por la hora original pone las causas detrás de los efectos. Se convierte todo a UTC y se conserva la hora original al lado para poder volver a ella.

Una fuente que no llega al colector es un punto ciego: sus eventos existen, pero nadie los busca ni los correlaciona, y se pierden cuando se vence su retención local. Suele pasar con los registros de DNS, que son voluminosos y se dejan «para después». Y son justo los que dicen qué nombre preguntó un equipo antes de conectarse. Consulta fuentes.

Dos fuentes de la planta escriben la hora local sin zona; en Colombia es UTC menos cinco, todo el año, sin horario de verano. Para llevar una hora local a UTC se suman cinco horas, y si pasa de medianoche, la fecha cambia. Convierte la hora del cortafuegos de la planta al formato HH:MM:SS.

Con las tres horas en UTC se puede armar el orden. Una auditoría de la cuenta que registra un inicio de sesión antes de la conexión cuenta una historia coherente («primero la identidad, luego el tráfico»); si saliera después, habría que pensar en un reloj desajustado. Esta evidencia solo ordena y no dice qué intención había: un inicio de sesión de un sincronizador a esa hora puede ser tan normal como sospechoso, según el calendario de la empresa.

La retención fija hasta cuándo se puede mirar atrás. Un incidente suele descubrirse mucho después de que empezó, y una fuente que guarda pocos días ya no sirve cuando llega la pregunta. No toda fuente necesita guardar un año: depende de lo que cuesta almacenarla y de la pregunta que ayuda a responder. Pero la fuente que menos guarda es la que se queda sin respuesta primero, y vale la pena saber cuál es antes de necesitarla.