Balizas en los flujos

Una conexión de una baliza, sola, no destaca: es breve, va cifrada, usa el puerto de siempre. Lo que se ve en los flujos es el conjunto. Muchas conexiones al mismo destino, separadas por un intervalo casi fijo, con cantidades de bytes casi idénticas —el mismo «¿hay algo nuevo?» una y otra vez— y desde un equipo, o muy pocos, que son los únicos que lo visitan.

Cada rasgo tiene su falso positivo. Un antivirus llama cada minuto, pero lo hacen todos los puestos. Un servicio de hora es regular, pero lo aprobó alguien. Ninguno de los rasgos acusa solo; es la combinación lo que describe una baliza. Ejecuta intervalos y compara las filas.

Para medir un ritmo se toman las horas de inicio de las conexiones a un mismo destino, se restan una a otra y se obtiene la lista de intervalos. De ellos interesan tres cosas: el medio, el más corto y el más largo. Un reloj de máquina da un intervalo igual con una desviación casi nula; una persona navegando da intervalos de segundos y de minutos, mezclados.

La tabla intervalos ya trae esos valores por destino. Hay dos destinos que visita un solo equipo: ejecuta intervalos | where hosts_internos == 1. Uno tiene un ritmo y el otro no: quedarse con el que tiene compás es el primer paso para dejar de mirar a ciegas.

Las balizas de verdad rara vez son un reloj perfecto: esperan «unos cinco minutos» con un margen para no parecer un metrónomo. A ese margen se le llama jitter (variación aleatoria del intervalo). Mirando solo el medio, la baliza se ve como un reloj de cinco minutos; mirando el más corto y el más largo, se ve el margen que tiene.

Para describir la baliza en un informe no basta «cada cinco minutos aproximadamente». Hace falta el intervalo medio y el rango, de modo que otro analista pueda escribir una búsqueda que la encuentre sin falsos positivos. Calcula el rango del destino de la tarea anterior restando el intervalo más corto del más largo (columnas de intervalos).

Los resúmenes proponen; las conexiones sueltas confirman. Ejecuta conexiones y mira cómo se reparten las horas de inicio: no caen cada trescientos segundos exactos, bailan unos segundos a cada lado. También los bytes subidos son casi iguales entre sí, en una banda estrecha. Eso es una pregunta repetida, no una navegación.

Todavía no es una conclusión. Faltan dos comprobaciones que no están en los flujos: de qué proceso viene y a quién pertenece el destino. Esas se piden a otras fuentes (la telemetría del equipo, el DNS pasivo), y el flujo se queda con lo que le toca: dar el reloj, el volumen y el equipo.

La tabla excepciones lista los relojes que alguien aprobó y por qué: la telemetría del antivirus, la sincronización de hora, la comprobación de actualizaciones. Son perfectamente regulares, y por eso hay que saber filtrarlos: si se buscan balizas solo por regularidad, salen todos ellos en cabeza.

El filtro correcto no se escribe «ignora lo regular». Se escribe «ignora estos destinos aprobados, que visitan muchos equipos» y se vuelve a mirar la lista. Lo que queda tiene que explicarse. Y una excepción se revisa de vez en cuando: un destino aprobado hace un año podría haber cambiado de dueño.