Complementar con registros de aplicación

Los flujos son amplios y baratos: cubren cualquier protocolo y cualquier equipo con exportador, pero solo dicen direcciones, puertos, volumen y tiempo. Los registros de aplicación son estrechos y ricos: cubren solo esa aplicación, pero dicen la cuenta, la acción y el objeto. La una orienta y la otra explica; las dos se usan juntas, y cuando se contradicen hay que averiguar por qué.

Abre inventario, flujos_fw y registro_app. Hacia las 02:14, el cortafuegos registra tres flujos grandes de 304 000 000 bytes desde el proxy inverso hacia la aplicación. El registro de la aplicación tiene tres peticiones a la misma hora, de una misma cuenta, con el mismo tamaño de respuesta. Los dos cuentan lo mismo desde puntos distintos.

Los flujos del cortafuegos muestran como origen la dirección del proxy inverso, porque es quien abre la conexión hacia la aplicación. Tampoco la aplicación ve al cliente directamente: ip_origen es el proxy. La dirección real viene de una cabecera que el proxy añade, y aparece en cliente_real. Sin esa columna, los flujos y la aplicación solo dirían que alguien pidió datos por el proxy.

Una comprobación sencilla es sumar los bytes que la aplicación devolvió a ese cliente real entre las 02:14 y las 02:20 y compararlos con los flujos del cortafuegos en el mismo intervalo. Si coinciden, las dos fuentes describen el mismo evento, y no hay otro canal por el que saliera más. Un megabyte, en esta tabla, son 1 000 000 de bytes.

Tienes dos fuentes que concuerdan: una cuenta válida, desde una dirección externa, exportó tres bloques de un inventario completo a las 02:14, 02:16 y 02:18, por cerca de 900 MB. No tienes la identidad de quien estaba al teclado, el motivo, ni la autorización. Una exportación fuera de horario puede ser una tarea legítima o una cuenta robada; los datos no lo deciden.