Sincronía horaria y zonas horarias

La práctica común es que el SIEM guarde todo en UTC, el tiempo universal coordinado, y convierta a la zona del analista solo al mostrar. Así dos equipos en ciudades distintas, o uno con horario de verano y otro sin él, se pueden comparar sin restar horas a mano. Colombia está en UTC-05:00 todo el año y no cambia de hora, pero un cortafuegos de una sede en otro país sí podría hacerlo.

Para que la conversión sea posible, cada mensaje tiene que traer su zona: Z quiere decir UTC y -05:00 quiere decir cinco horas por detrás.

Un mensaje cuya hora no declara zona obliga al SIEM a adivinar. Lo habitual es que asuma UTC, y si el equipo escribe su hora local, el evento queda guardado con un desfase de horas completas. La búsqueda por intervalo no lo encuentra donde debe y la correlación falla sin dar ningún error.

Consulta la tabla de relojes y filtra por la zona declarada (sin zona).

La hora original del proxy dice las 14:02:15, y en realidad es hora local de Colombia, que está cinco horas por detrás de UTC. El SIEM la guardó como si ya fuera UTC. El desfase real es la diferencia entre lo que debía guardarse y lo que se guardó.

Calcula de cuántas horas está corrido el evento del proxy respecto al mismo acceso visto por las otras fuentes, que están alrededor de las 19:02.

La sincronía de relojes se hace con un protocolo de hora de red, NTP, contra una fuente interna o pública. Sin ella, cada reloj se desvía poco a poco. La desviación pequeña no se ve a simple vista, pero a las pocas semanas puede pasar de minutos, y las ventanas de correlación suelen ser de segundos o de pocos minutos.

Consulta el estado de sincronía y busca el equipo que no la tiene configurada.

Cuando se descubre un reloj o una zona mal interpretada, hay dos caminos. Sumar o restar horas dentro de cada consulta arregla la búsqueda de hoy, pero deja el dato guardado mal y cada analista debe recordar el arreglo. Corregir en el origen, o en la regla de normalización del colector, arregla el dato para todos y para siempre. Lo primero que se anota en el caso es qué eventos ya guardados quedaron con el desfase.