Lo que salió y lo que no se sabe

Entre las conversaciones largas del viernes hay una que se repite tres veces seguidas desde el portal hacia una misma dirección externa, con una separación de minutos entre una y otra. No es la única conversación larga del día, y las demás no tienen por qué ser del incidente: se separan por quién las origina y a quién van. Mira el origen y el destino de cada fila.

Una alerta de volumen dice que algo grande salió; el informe necesita la cifra. Se suman los megabytes que el portal envió hacia ese destino y solo esos: no los de otros equipos, no los del respaldo nocturno y no los que el portal recibió. La suma es un dato de red, no una afirmación sobre los archivos.

Hay una cifra, un destino, unas horas y una lectura previa de miles de archivos. Es muy tentador unir todo en una sola frase y decir qué se llevaron. Pero el sensor no guarda el contenido de los paquetes y el tráfico va cifrado. Escribe la frase que el informe puede sostener si mañana alguien examina el portal por dentro y encuentra algo distinto.

Para decir si la salida sigue abierta, o si ya terminó cuando se abrió el caso, hace falta el final de la última conversación. El caso se abrió el viernes a las 14:40 UTC. El registro da la hora de inicio y de fin de cada conversación en UTC; la última de las tres es la que cierra la ventana de salida conocida.

El mismo día aparece otra conversación larga, de otro equipo hacia otra dirección, y es incluso mayor que cada una de las tres del portal. Si se sumara al total, el informe diría algo falso. Compara con el resumen del respaldo nocturno antes de decidir cómo tratarla.