Columnas que cuentan la historia

Una captura tiene varias formas de decir «cuándo». El tiempo relativo cuenta los segundos desde el primer paquete del archivo (frame.time_relative). El delta de captura mide el tiempo desde el paquete anterior que se capturó (frame.time_delta). El delta mostrado mide el tiempo desde el paquete anterior que sigue visible tras aplicar un filtro de visualización (frame.time_delta_displayed).

La diferencia entre los dos deltas importa: con un filtro puesto, el delta mostrado salta por encima de todo lo que está oculto, y una pausa que parece enorme puede ser solo la distancia entre dos paquetes que sí cumplen el filtro. Para detectar silencios de verdad, se mira el delta de captura con la lista sin filtrar.

Un cliente que habla y calla deja un ritmo. En la lista de paquetes se ordena por la columna del delta de captura, de mayor a menor, y el primero de la lista es el paquete que llegó tras la pausa más larga. Eso responde a una pregunta muy práctica: ¿cuándo pasó algo después de un silencio?

En el laboratorio, la tabla paquetes tiene la columna delta_previo. El valor que se pide es el tiempo relativo del paquete que llegó justo después del silencio mayor, porque es el dato con el que se vuelve a buscar en el resto de registros.

En una conexión cifrada el contenido no se lee, pero el saludo inicial del cliente lleva, en claro, el nombre del servidor al que quiere llegar (SNI). Añadirlo como columna (tls.handshake.extensions_server_name) convierte una lista de direcciones IP en una lista de nombres, y los nombres se reconocen y se comparan con lo que la empresa tiene documentado.

La lista de paquetes ya muestra ese nombre en la información de cada Client Hello. El puesto habla con dos servidores externos: el primero aparece en los paquetes 6 y siguientes. Lo que se pide es el nombre del segundo.

Con el filtro tls puesto, la lista solo muestra los paquetes de ese protocolo. El delta mostrado de cada uno se calcula respecto al anterior que se ve, no respecto al anterior que se capturó. Por eso, el primer paquete que aparece después de un hueco ocupado por otros protocolos tiene un delta mostrado que no coincide con su delta de captura.

Es una trampa clásica: un analista ve un delta enorme en un paquete TLS y concluye que el equipo calló durante medio minuto, cuando en realidad hubo un intercambio de DNS en medio, oculto por el filtro. Léelo en la tabla delta_con_filtro_tls y compáralo con paquetes.

Cada pregunta del caso pide su columna. Para saber con quién habla un equipo por TLS, el nombre de servidor del saludo. Para ver qué conversación TCP agrupa un paquete, el número de flujo. Para ver qué nombres pregunta un equipo por DNS, el nombre consultado. Y para encontrar tramas fuera de lo normal, la longitud.

Añadir una columna no cambia el archivo: es una preferencia de la vista, y se puede ocultar o quitar sin tocar la captura.