La 5-tupla y los registros agrupados por flujo

Una conversación entre dos equipos se identifica con cinco datos: la dirección de origen, el puerto de origen, la dirección de destino, el puerto de destino y el protocolo (TCP, UDP). Ese conjunto es la 5-tupla. Dos líneas de registro con los cinco campos iguales hablan de la misma conversación; si cambia uno, es otra.

No todos los campos pesan igual para el analista. El puerto de destino suele ser el del servicio: 53 para el DNS, 443 para la web cifrada, 445 para compartir archivos. El puerto de origen, en cambio, lo escoge el sistema operativo del equipo que llama, y lo hace de nuevo en cada conexión. Por eso un equipo que visita cien veces el mismo servicio genera cien 5-tuplas distintas, parecidas en todo menos en ese número.

Un cortafuegos suele apuntar una línea cuando se abre la conexión y otra cuando se cierra, con los bytes que llevó. Contar las líneas de un registro, entonces, dice cuánto escribió el equipo; no dice cuántas conversaciones hubo. Para contar conversaciones hay que agrupar por los cinco campos y contar los grupos.

Abre el laboratorio y mira primero las líneas tal como llegan. Después agrúpalas: cada fila del resultado es un flujo, con cuántas líneas tuvo y cuántos bytes sumó. Hay una forma corta de saber cuántos hay sin contar a mano, que es pedirle al SIEM las 5-tuplas distintas.

Una regla práctica evita confusiones al agrupar: lo que identifica el flujo es la 5-tupla, y todo lo demás es información sobre el flujo. La hora, el evento (abrir o cerrar), la duración y los bytes pueden cambiar de una línea a otra de la misma conversación sin que eso la parta en dos.

Compruébalo con una conexión concreta del registro, la que sale por un puerto de origen determinado. La consulta te devuelve sus dos líneas; compara columna por columna qué cambia y qué se queda igual.

Agrupar por la 5-tupla entera da una fila por conversación, y en un registro grande son miles. Para ver lo que se repite hay que soltar un campo: el puerto de origen. Agrupando por origen, destino, puerto de destino y protocolo, y contando cuántos puertos de origen distintos hay en cada grupo, sale una fila por servicio con su número de conversaciones.

Esa tabla, ordenada de más a menos, se lee rápido. Que un puesto repita cuatro veces el camino hacia el proxy es lo normal. Lo que merece una pregunta es una repetición hacia un destino de fuera de la red, sobre todo si es el único equipo que lo hace. Es la misma idea de la baliza del módulo de la red, pero sin medir intervalos: aquí se encuentra primero qué se repite.

La 5-tupla habla de direcciones, no de equipos. El último paso del método es el de siempre: poner nombre a la dirección de origen para que el hallazgo se pueda escalar. En esta mañana las direcciones son fijas y el inventario dice a qué equipo corresponde cada una.