Exportar objetos y la información del experto

Seguir un flujo, como en la sala anterior, te da el texto de una conversación completa. Exportar objetos hace algo más concreto: recorre toda la captura, identifica los protocolos que transportan archivos completos —HTTP, SMB, TFTP, alguno más— y reconstruye cada archivo transferido en claro como un objeto aparte, con su nombre, su tipo de contenido y su tamaño, listo para guardarlo en disco sin tocar la captura original.

No inventa nada que no esté en los paquetes: si el archivo viajó cifrado por TLS, no hay objeto que exportar, igual que «seguir flujo» solo devolvía bytes ilegibles en esa misma conversación. Y no analiza el archivo por ti —no dice si es dañino—; solo te ahorra reconstruirlo paquete a paquete.

La captura de las 09:00 muestra el tráfico HTTP de la red de oficinas. El menú de objetos exportados lista cada archivo que se transfirió esa mañana, con el protocolo, el nombre, el tipo de contenido y el equipo que lo pidió.

Entre los archivos hay descargas normales de la intranet y una que no encaja: un documento que sale HACIA fuera, no que entra, y que por su nombre no parece algo que deba salir de la empresa por un canal sin cifrar.

Las dos herramientas parten de la misma captura, pero resuelven preguntas distintas. Si ya sabes qué conversación te interesa y quieres leerla completa, con lo que dijo cada lado y en qué orden, seguir el flujo es la herramienta correcta. Si lo que quieres es «qué archivos se movieron en toda la captura, sin que me digas en qué conversación», exportar objetos barre todo de una vez y te da la lista.

Usarlas al revés cuesta tiempo: seguir flujo por flujo buscando un archivo que no sabes dónde está es releer toda la captura a mano; exportar objetos para leer una conversación completa te da fragmentos sueltos, no la conversación en su contexto.

El menú de información del experto no lee contenido: lee el comportamiento de los propios protocolos, paquete a paquete, y agrupa lo que encuentra en cuatro niveles. Chat son datos de contexto sin problema, como el inicio de una conexión. Nota son detalles a vigilar, sin ser un fallo. Advertencia son síntomas de un problema real en la red —una retransmisión, un paquete duplicado, un segmento fuera de orden—. Error son fallos de formato que el propio analizador no puede interpretar.

Una advertencia de retransmisión no significa que alguien esté atacando la red: casi siempre es un síntoma de congestión, de un enlace saturado o de un equipo que perdió paquetes por el camino. Es una pista de dónde mirar, no una conclusión por sí sola, igual que pasaba con el volumen alto de una conversación en la sala de estadísticas.

La tabla de advertencias de esta captura trae varias conversaciones con algún aviso, pero una concentra muchas más retransmisiones que el resto, a horas seguidas: es la que merece la primera llamada a la persona que administra la red, antes de mirar las demás.