Conversaciones largas

El exportador cierra un registro cada vez que se cumple el tiempo máximo, aunque la conversación siga. Si el tiempo máximo son treinta minutos, una sesión de nueve horas se convierte en dieciocho registros con las mismas direcciones y puertos, uno a continuación del otro. Ejecuta sesiones: la última columna dice cuántos registros ocupó cada una, ya unidos.

Esto tiene una consecuencia práctica: para encontrar sesiones largas no basta con buscar registros largos, porque ningún registro pasa del tiempo máximo. Hay que sumar los tramos que comparten origen, destino y puertos y se suceden sin hueco. Por eso el número de registros de una sesión es más útil que la duración de cada fila.

Ejecuta registros_ses3: son los dieciocho tramos de una sesión de nueve horas, con lo que subió y bajó cada uno en kilobytes. Cada fila es pequeña; lo que cuenta es el total, y el total solo existe después de sumar. Es el mismo ejercicio que hará un colector bien hecho, y conviene saber hacerlo a mano para no creer a ciegas una cifra agregada.

Mira también los dos relojes: todos los tramos menos el último se cerraron por tiempo máximo, y el último con un cierre normal. Eso confirma que es una sola sesión sin interrupciones.

Hay sesiones largas que mueven mucho, y no tienen nada de raro: la réplica de una base de datos, la copia de seguridad, el túnel con una sucursal. Y hay otras que no mueven casi nada, en ningún sentido, durante horas: algunos kilobytes cada media hora. Esa forma —larga y delgada— es la de un canal abierto que espera: un programa que mantiene la línea viva para usarla cuando le llegue una orden.

No es una prueba, es una pregunta. Una persona con una sesión de escritorio remoto también deja largas y delgadas. Lo que se busca es la que no tiene explicación, hacia un destino que no es de la empresa. Ejecuta sesiones | where duracion_h > 6 | where mb_subidos < 10.

Otra de las sesiones sube más de ocho gigas en seis horas y media, cada noche, a la misma dirección. Si se mira solo el volumen y la duración, es la que más inquieta; es también la mejor documentada. La pregunta correcta ante una sesión grande es si hay un cambio aprobado que la explique: quién la pidió, qué hace y desde cuándo.

Ejecuta cambios y compara fechas, equipos y descripciones con la tabla de sesiones. Una sesión explicada se anota con su cambio, para no volver a investigarla; no se borra de la vista.

Ante una sesión larga el flujo ya dio lo que puede dar: cuándo empezó, cuánto duró, cuánto movió y hacia dónde. Las preguntas que siguen son de contexto, no de bytes: ¿quién es el dueño del destino?, ¿hay un cambio aprobado?, ¿es lo propio de ese equipo? Si no hay respuesta a la primera, el destino se pide a otras fuentes (DNS, inventario de proveedores). Si no hay respuesta a ninguna, se escala con la evidencia.

La acción no es cortar la sesión de inmediato. Cortarla borra la señal y quizá también un servicio del que dependen otros. Primero se documenta la sesión completa y se decide con quien es dueño del equipo.