Qué ve la red y qué no ve

Casi todo el tráfico web de hoy va cifrado con TLS. Eso no deja a la red ciega, pero sí la deja con menos datos. Un equipo que abre una conexión cifrada pregunta antes el nombre al resolvedor, se conecta a una dirección IP y, en el saludo TLS, suele enviar en claro el nombre del sitio al que quiere llegar (el campo SNI). Lo que va dentro, la ruta de la página, los encabezados y el contenido, viaja cifrado.

Un proxy que descifra (inspección TLS) sí ve la ruta y el contenido, pero solo en las categorías donde está autorizado a hacerlo. Las empresas suelen exceptuar la banca y la salud por privacidad, y en esas categorías el proxy ve lo mismo que cualquier otro punto de la red.

Consulta SELECT * FROM sensores y SELECT * FROM inspeccion_tls para ver qué registra cada punto de Lácteos Guachucal.

Un indicador solo sirve en un punto que pueda ver ese tipo de dato. Una dirección IP la ve el cortafuegos; un nombre lo ve el resolvedor; una URL completa solo la ve quien tiene la ruta en claro. Si nadie en la red ve el dato tal como viene en el informe, el indicador no se puede usar así: hay que buscar otro dato del mismo actor que sí se vea, o quedarse con lo que se ve sabiendo lo que se pierde.

Consulta SELECT * FROM indicadores_del_informe y cruza cada indicador con lo que registran los sensores y con la tabla de inspección.

El resolvedor interno es el mejor sitio para ver nombres porque todos los equipos le preguntan. Todos, salvo los que no. Un navegador con DNS cifrado hacia un resolvedor de fuera, un portátil con un resolvedor público configurado a mano o un móvil con DNS cifrado del sistema hacen sus consultas fuera de la vista del resolvedor interno. Para esos equipos, una lista de nombres cargada en el resolvedor no existe.

Consulta SELECT * FROM equipos_dns.

Hay datos que solo existen en un punto. La huella de un archivo adjunto se calcula sobre el archivo entero, y el único sitio del perímetro que tiene el archivo entero antes de que llegue al usuario es el que recibe el correo. El cortafuegos ve paquetes de una conexión, no archivos; el sensor en espejo, si el correo va cifrado, no ve el adjunto.

Cuando una regla o una lista no dispara, la tentación es escribir «no hubo actividad». Eso solo es cierto si el punto que debía verla la podía ver. Un sensor que no recibe un tipo de tráfico no puede dar alertas sobre él, y su silencio no es evidencia de nada.