Una captura ficticia, conversaciones y estadísticas

Un analizador de paquetes junta los paquetes de un mismo par de direcciones y puertos en una conversación y las lista con sus paquetes, sus bytes, el instante en que empezó (relativo al inicio de la captura) y cuánto duró. Es la misma idea que una fila de conn.log, pero calculada sobre los paquetes del archivo.

La tabla de conversaciones es el primer mapa de una captura: en una sola pantalla se ve quién habló con quién y cuánto. Cada fila trae menos detalle que el paquete, pero se lee en segundos.

Consulta propiedades y conversaciones.

Ordenar las conversaciones por bytes responde a «¿adónde se fue el tráfico?». Interesa sobre todo el lado de afuera, porque el tráfico interno se explica con el inventario y el de salida es el que se justifica o se investiga.

Mira cuál de las direcciones externas de la tabla concentra más bytes.

Un número absoluto dice poco; una proporción dice si un destino domina la captura. Se calcula con los bytes de la conversación entre los bytes totales del archivo, que están en propiedades.

Haz la cuenta con la conversación de más bytes y redondea al entero.

La jerarquía de protocolos reparte los paquetes y los bytes por protocolo. Sirve para ver de golpe qué tipo de tráfico domina y si hay algo que no debería estar, por ejemplo un protocolo administrativo en una red que no lo usa.

En una captura de oficina moderna lo normal es que TLS domine los bytes, y eso dice poco: confirma que casi todo va cifrado, no que sea bueno ni malo. Los protocolos con pocos bytes y muchos paquetes (como DNS) cuentan otra historia: muchas preguntas pequeñas.