Exfiltración — el dato saliendo despacio

La navegación normal baja mucho y sube poco: pides una página, te llega entera. Una exfiltración invierte esa proporción —el equipo sube mucho más de lo que baja, porque está sacando datos. Ordenar las conversaciones por bytes subidos hacia destinos externos hace que el caso salte: un equipo de Ventura sube hacia un dominio de aspecto anodino de sincronía en la nube muchísimo más de lo que recibe.

La proporción subida/bajada es una de las señales más limpias de exfiltración, porque no depende del volumen absoluto: funciona aunque el total sea pequeño.

Lo que hace peligrosa a esta exfiltración es que va lenta y regular: pequeñas subidas cada cierto número de segundos, del tamaño de una sincronía normal, durante toda la hora. Nunca hay un pico. Por eso no dispara una alerta de volumen —no hay volumen que destaque. Lo que la delata no es el tamaño de cada trozo sino su regularidad y su destino: un compás demasiado exacto para ser una persona.

Reconocer que «lento y regular» es una técnica de evasión, no un descuido, es lo que separa a un analista que la caza de uno que la pasa por alto.

Cada trozo es pequeño, pero sumados en la hora dan una cantidad que ya cuenta como fuga. Al reportar, el dato accionable no es «hubo subidas raras» sino «este equipo subió del orden de cientos de kilobytes a este destino externo, a intervalos fijos, durante una hora». El total y el ritmo, juntos, convierten una sospecha de forma en un hallazgo con magnitud y con impacto —que es lo que un responsable necesita para decidir.

Sumar el total es el paso que le pone tamaño al problema; sin él, «tráfico raro» no mueve a nadie a actuar.