Capturar sin ahogarse

Un sensor de red solo ve lo que cruza por su punto de escucha. Si lo pones en el equipo de un solo empleado, ves su tráfico y nada más; si lo pones en el enlace por el que pasan todos los equipos hacia los servidores —el uplink, con un puerto espejo o un TAP—, ves la conversación de toda la oficina. La decisión de colocación es lo primero, porque ninguna herramienta recupera un paquete que nunca pasó por delante del sensor.

Como analista de guardia en el SOC de Ventura no capturas tú: recibes una captura que el sensor ya tomó. Pero saber dónde estaba puesto te dice qué puedes esperar encontrar y qué no.

Te llega la captura de una hora de tráfico de Ventura. Antes de cazar nada, se dimensiona: cuántos paquetes trae, cuánto pesa, qué proporción es tráfico cifrado. Un analista que no sabe el tamaño de su propia captura no sabe cuándo ha terminado de mirarla, y confunde «no encontré nada» con «no busqué en todo».

En el laboratorio abrirás la captura y leerás su conteo total de paquetes. Aquí solo se fija el criterio: dimensionar es el paso cero, no una pérdida de tiempo.

Una hora de una oficina son cientos de miles de paquetes, y la mayoría son ruido legítimo: navegación, actualizaciones, sincronías con la nube. El oficio no es mirarlo todo, sino filtrar hasta quedarte con lo que puede importar. Reducir a solo el tráfico cifrado hacia destinos externos, por ejemplo, deja a la vista con qué servidores de fuera habla la empresa —una lista corta y muy reveladora.

Un filtro no borra nada de la captura: solo esconde lo que ahora no miras, y se quita cuando quieres volver a verlo.

Un sensor puede estar colgado del punto correcto y aun así ver solo una parte de lo que cruza. Por defecto, la tarjeta de red descarta toda trama que no vaya dirigida a su propia dirección física: se queda con lo suyo y tira lo demás. Para que un sensor registre la conversación de toda la oficina hace falta que la tarjeta acepte también lo que no va para ella; ese modo de trabajo es el que convierte una tarjeta normal en un oído de la red.

Si el sensor de Ventura está bien colocado pero solo aparece su propio tráfico, no es que no pase nada por delante: es que la tarjeta está tirando lo que no lleva su nombre.

Capturar en una hora punta mueve mucho tráfico por segundo, y el proceso que escribe la captura tiene un límite: si entra más de lo que alcanza a guardar, descarta tramas y la herramienta lo avisa con un contador de paquetes perdidos. Esas tramas no se recuperan —nunca llegaron al archivo—, así que una captura con descartes tiene huecos silenciosos justo donde más tráfico había, que suele ser el momento interesante.

Mirar si hubo descartes es parte de dimensionar la captura: un archivo con tramas perdidas no sirve para afirmar «no pasó nada», porque lo que faltó pudo ser precisamente lo que buscabas.