La red del puesto, latido y salida

Un latido metronómico es sospechoso porque ninguna persona navegando lo produce. Pero muchos programas legítimos también lo producen: agentes de monitoreo, licencias, sincronizadores. Si la regla fuera «intervalo constante igual a canal de mando», saltaría con todos ellos a la vez.

Lo que separa un latido de otro está en la línea de base, no en el intervalo: cuántos equipos hablan con ese destino, desde cuándo lo hacen y qué sabemos del dominio.

Abre el resumen por destino. Entre los destinos con latido hay uno al que solo llega un equipo, y es el que se investiga. Su intervalo está medido.

Un dominio recién registrado que empieza a recibir tráfico justo al comienzo de un incidente no es una prueba, pero es un dato que suma. La edad se mide entre la fecha de registro y la consulta con la que apareció en la red.

El registro de conexiones grandes del martes guarda los bytes enviados por cada flujo, en UTC. Para medir lo que salió hacia el destino sospechoso, se suman solo los flujos de ese destino dentro de la ventana de la madrugada local, y se pasa a megabytes con la convención que el propio archivo declara.

La empresa tiene un umbral diario de salida por equipo, y esta salida quedó por debajo. Tentaría decir que la regla funciona como se diseñó, o bajar el umbral para todos. Las dos salidas empeoran las cosas: una deja el hueco abierto y la otra llena de ruido a todo el SOC.