Escenario: una captura ficticia de diez minutos y tres preguntas de hipótesis

Durante una ventana de diez minutos (600 segundos), los colectores de NetFlow registraron una transferencia de más de 125 MB desde una estación interna (10.100.4.12) hacia una dirección IP externa no catalogada (198.51.100.77) con un ratio de paquetes de 98:2. El cazador formula tres hipótesis: 1) Actualización oficial del sistema operativo, 2) Exfiltración de datos comprimidos previa a cifrado, o 3) Error de configuración de backup. La asimetría extrema y el destino externo confirman alta sospecha de exfiltración.

Consulta en la tabla conversation_stats el valor registrado en la columna packet_ratio para la transferencia sospechosa.

Lección tras el caso {#leccion}

Los flujos de red (NetFlow/IPFIX) y las capturas PCAP representan dos extremos complementarios de la visibilidad de red: los flujos ofrecen la visión telescópica a gran escala de volúmenes, duraciones y ratios de transferencia sin agotar el almacenamiento; las capturas aportan la visión microscópica forense de cada byte. El cazador de amenazas defensivo sabe extraer hipótesis sólidas a partir de estadísticas de asimetría y patrones temporales en tráfico cifrado, recordando siempre el impacto que el muestreo de paquetes ejerce sobre la visibilidad de eventos pequeños y sigilosos.