Estadísticas para saber dónde mirar

La jerarquía de protocolos reparte la captura entre protocolos y da dos porcentajes por cada uno: el de paquetes y el de bytes. No tienen por qué parecerse. Un protocolo que genera muchísimos paquetes diminutos, como las consultas de nombres, pesa poco en bytes. Uno que mueve pocos paquetes grandes, como una transferencia de archivos, pesa mucho en bytes y poco en paquetes.

Leer los dos porcentajes juntos permite conocer la forma de una red en un día normal. Un cambio brusco de esa forma —un protocolo que de pronto pesa lo que nunca pesó— es lo que merece una segunda mirada.

La tabla de extremos (endpoints) lista cada dirección de la captura con lo que envió (tx) y lo que recibió (rx), en paquetes y en bytes. Responde a «¿quién es el que más habla?» y, ordenada por bytes enviados, a «¿quién saca más datos de la red?». No distingue si el emisor es un servidor que responde a muchos o un puesto que sube algo: eso hay que mirarlo con otra tabla.

Entre las direcciones internas de la hilandería hay una que envía bastante más que las demás. El dato que se pide es esa dirección.

La tabla de conversaciones junta lo que ocurrió entre un par de equipos: cuántos paquetes, cuántos bytes en cada sentido, cuándo empezó y cuánto duró. Aquí aparecen cosas que los extremos esconden: dos equipos que hablan poco pero sin parar, durante casi toda la captura.

Una conversación larga y discreta no es sospechosa por sí sola: puede ser una sincronización de la propia aplicación. Pero es una forma distinta de «importante» frente a la de mayor volumen, y conviene tener las dos anotadas. La que se pide es la que más duró: el destino con el que habló.

El gráfico de entrada y salida divide el tiempo en intervalos y cuenta paquetes o bytes en cada uno. En una tabla es lo mismo: una fila por minuto. Sirve para situar en el tiempo lo que las otras tablas solo cuantifican: cuándo empezó, cuándo terminó, si fue un golpe o un goteo.

Con la hora del pico se vuelve a la lista de paquetes, se filtra por esa franja y se busca de quién era. Estadística y lectura se alternan: una dice dónde, la otra explica.

El equipo de la tarea 2 envió muchísimo más que el resto, y eso se ve a primera vista. Pero un volumen alto no es una acusación: puede ser una copia de seguridad, una subida autorizada, una actualización que se publica. Lo que se afirma con estadísticas es lo que se mide —quién, cuánto, cuándo— y lo que se concluye lo decide el contexto: inventario, calendario de tareas, dueños de los equipos.

Un informe honesto separa las dos cosas: primero la medida con su tabla, después lo que haría falta confirmar y con quién.