Exfiltración, lo que sale de la captura

Navegar es asimétrico hacia abajo: se envía una petición pequeña y se recibe una página grande. Cuando una conexión envía mucho más de lo que recibe, el sentido se invierte y se llama subida. Una subida no es mala por sí misma (una copia de seguridad, un correo con adjunto), pero es la señal por la que se empieza a mirar una posible fuga: cuánto salió, hacia quién y si ese destino tiene una explicación.

El registro no dice qué contenía lo enviado, y no se supone: se mide el volumen y se contrasta con lo esperado.

Abre SELECT * FROM subidas. La sesión más grande de toda la captura va a un destino que el sistema invitado usa solo (la columna en_base_ruido lo dice). Pero lo que importa es cuánto recibió cada destino en total, no cuál fue la sesión más grande: un envío repartido en pedazos pequeños suma más que un solo golpe. Suma por destino y compara.

Para el informe se necesita el número exacto: cuántos bytes salieron hacia ese destino durante la captura. Es la cifra que le permite a quien decide valorar si hay motivo para revisar qué archivos o qué datos pudieron salir, y se suma con las filas, no se estima.

Hay otra forma de sacar información sin abrir una conexión propia: meterla en los nombres que se consultan por DNS, de modo que el servidor del dominio los reciba como consultas. Su huella es la contraria de un servicio normal: casi todos los nombres distintos, nombres largos y un tipo de registro cómodo para llevar texto (TXT).

Abre SELECT * FROM dns_resumen y SELECT * FROM dns_muestra. Un dominio cumple las tres a la vez; los otros repiten pocos nombres y son cortos.

El volumen enviado a un destino sin explicación y el dominio con nombres largos son hallazgos reales. Lo que no demuestran, con este registro, es qué datos eran ni si eran datos de la empresa: en una sala de análisis aislada el equipo no tiene datos reales, y en un incidente real solo se sabría con el archivo que salió o con el contenido de la sesión.