Qué se ve mirando el cable

Antes que el contenido, una captura de red te dice algo más simple y más útil: quién habló con quién, cuándo y cuánto. Ese mapa de conversaciones es media investigación. En la captura de Salitre, casi todos los equipos hablan con el servidor interno y con internet de forma parecida; uno habla con una dirección de fuera que ningún otro toca. No hace falta descifrar nada para que ese equipo destaque: destaca por con quién habla.

Las relaciones delatan antes que el contenido. Un equipo que habla con quien nadie más habla es sospechoso aunque no se lea una sola palabra de lo que dice.

En la práctica te topas con los mismos protocolos: web (HTTP/HTTPS), resolución de nombres (DNS), correo, acceso remoto. Cada uno tiene una forma normal, y reconocerla es lo que deja ver la anormal. El DNS, por ejemplo, sirve para traducir un nombre a una dirección: consultas cortas y frecuentes. Consultas de DNS larguísimas y repetidas hacia el mismo dominio no son resolución normal — son un canal escondido. Conocer la forma normal de cada protocolo es el radar.

No se trata de memorizar cada protocolo, sino de saber cómo se ve cada uno cuando funciona bien, para que lo torcido salte.

Hoy casi todo el tráfico va cifrado, y el principiante cree que eso lo vuelve invisible. No es así: el cifrado tapa el contenido, no la conversación. Aunque no puedas leer qué se dijo, sigues viendo con quién se habló, cuándo, cuánto tiempo y cuántos datos salieron. Una fuga de datos cifrada hacia un destino raro sigue siendo visible como «este equipo mandó muchos datos a un sitio con el que nadie más habla». El cifrado protege el mensaje; no esconde que hubo mensaje.

Esta es la idea que más cuesta al principio y más rinde después: no necesitas leer el contenido para saber que algo va mal.

Cada servicio que una máquina ofrece escucha en un puerto, un número que dice «por aquí se habla con este servicio». La web en el 443, el acceso remoto en el 22, la base de datos en el suyo. Mirar qué puertos tiene abiertos un servidor es contar sus puertas, y es lo primero que hace el que ataca y lo que el que administra debería tener contado. En Salitre, la base de datos responde en su puerto desde fuera de la red interna — algo que no debería, porque una base de datos solo tiene que hablar con su aplicación.

Una puerta abierta que nadie justifica es superficie de ataque. El trabajo no es cerrarlas todas, es que cada una abierta tenga un motivo escrito.

Quién habla con quién se lee en la captura, no se intuye. Abre el laboratorio y revisa las conversaciones de la red de Salitre: casi todas van al servidor interno, una va a un destino de fuera que nadie más toca.