Seguir una conversación

Cada conexión TCP recibe un número de flujo dentro del archivo. Al seguirla, el programa toma solo los paquetes de esa conexión, los ordena por su número de secuencia y reconstruye el contenido de cada sentido: lo que dijo el cliente y lo que contestó el servidor. Equivale a escribir como filtro de visualización el número de flujo, tcp.stream eq 4, y leer el resultado de corrido.

Sirve para leer una petición web entera, una sesión de transferencia de archivos o un diálogo de texto. No sirve en lo cifrado: allí el flujo se reensambla, pero su contenido sigue siendo ilegible. Y no corrige lo que el programa no entiende: un flujo «no reconocido» sigue siéndolo.

Lo primero al abrir una lista de flujos es ordenarla por bytes. No porque lo grande sea lo malo, sino porque dice dónde está el tráfico y qué servidor lo recibe, y de ahí se decide qué flujos merece la pena leer. En un servidor de archivos es normal que domine el volumen; en un servidor de reportes sería raro.

Ordena los flujos de mayor a menor volumen y mira el destino del primero.

Un flujo HTTP sin cifrar se lee casi como una carta: la línea de petición, las cabeceras que manda el cliente, la línea de estado y las cabeceras de la respuesta, y después el contenido. En una cabecera de respuesta como Content-Disposition el servidor dice cómo se llama el archivo que entrega. Con eso, la evidencia de «este servicio entregó un reporte sin cifrar» queda con nombre y apellido.

Sigue el flujo 4 y lee lo que contestó el servidor.

Para un hallazgo se suele necesitar un número: cuánta evidencia hay de un tipo. Se obtiene filtrando por el protocolo de aplicación y sumando los paquetes de los flujos que cumplen. Es un cálculo sencillo, pero se anota con su filtro para que otra persona lo repita y obtenga el mismo número.

Cuenta los paquetes de los flujos que hablan HTTP.

Un flujo cuyo protocolo el programa no reconoce, largo y con cadencia regular, llama la atención. Pero «no reconocido» solo quiere decir que no hay un descifrador para él: puede ser un equipo propietario de planta, una aplicación a medida o algo que no debería estar. Antes de escribir una palabra en el informe se identifica de quién es.