La memoria y la red

Una región de memoria con permisos de lectura, escritura y ejecución y sin ningún archivo detrás es una pista, no una prueba: algunos programas legítimos la generan por diseño. Lo que la convierte en hallazgo es salirse de la línea base: dónde aparece, bajo qué padre y con qué contenido. En el volcado hay dos procesos con una región así.

El disco guarda lo que se escribió; la memoria guarda lo que estaba corriendo, incluido código que nunca se guardó como archivo y conexiones abiertas en ese instante. Por eso una misma muestra puede verse de forma distinta en cada fuente, y cada una tiene sus límites: el volcado es una foto de un momento, y un proceso que ya terminó puede no estar en él.

Una conexión que se repite a intervalos regulares hacia el mismo destino se llama baliza. El intervalo se mide restando las horas de inicio consecutivas y promediando; unos segundos de variación entre una y otra no la desmienten, y suelen ser parte de ella.

Los flujos de gran volumen mezclan lo que es del incidente con lo que es normal: el respaldo nocturno en la nube de Zuleta también sale por el cortafuegos todas las noches. Suma solo lo que va hacia el destino de la baliza. Es una cifra de bytes salientes medidos en el cortafuegos, no un inventario de lo que se llevaron.

Los envíos salieron de zul-arch-01, un servidor de archivos de administración y contabilidad, hacia el mismo destino al que el puesto de Compras había estado llamando por baliza. La coincidencia del destino une los dos hechos; los bytes dicen cuánto y cuándo, y no qué iba dentro.