Cobertura y puntos ciegos

Cuando una conversación va cifrada, el sensor no ve su contenido. Ve lo que viaja alrededor: las direcciones, los puertos, la hora, la duración, los bytes de cada lado y, según la versión y la configuración, lo que se negocia en claro al principio, como el nombre de servidor que pide el cliente. Y puede que ni eso.

Con esos datos se puede afirmar que hubo una conversación con ese destino, en esa hora y con ese volumen. No se puede afirmar qué se dijo dentro. Un buen informe escribe lo primero con seguridad y lo segundo como límite.

El sensor está conectado a un puerto espejo del conmutador: una copia del tráfico de las redes locales virtuales (VLAN) que alguien eligió copiar. Todo lo que no se copió no existe para el sensor, aunque el equipo esté enchufado a la misma red. Y hay un caso intermedio: tráfico que sí llega pero sin la identidad de quien lo genera.

Cuenta los segmentos que no llegan en absoluto al sensor. El que llega solo en parte no entra en la cuenta, pero va a la lista de límites del informe junto con los otros.

Un sensor sobrecargado descarta paquetes: llegaron al equipo y no alcanzó a procesarlos. Lo perdido no se puede recuperar porque no se guardó en ningún lado. El efecto en un caso es doble: conversaciones que faltan en el registro y alertas que no saltaron porque la regla nunca vio el paquete.

La tabla de salud lleva cuántos paquetes recibió y cuántos perdió el sensor cada día de la última semana. No hace falta calcular proporciones para ver cuál día se separa de los demás.

Los registros del sensor tienen una retención: pasados los días configurados se sobrescriben. El dato más antiguo que hay hoy marca el límite de lo que se puede preguntar. Una pregunta que empieza antes de esa fecha no tiene respuesta en este sensor, y el informe tiene que decirlo de forma explícita.

En el laboratorio la retención de cada registro está en una tabla; los dos de Zeek no guardan lo mismo que las alertas de Suricata.

Con los límites medidos se escribe un apartado del informe. Su regla es la misma que la de cualquier hallazgo: afirmar solo lo que sostiene la evidencia. Y lo que no se vio no es evidencia de que no pasara. Ausencia de registros no es registro de ausencia.

Un apartado de límites útil nombra cada segmento y cada periodo que el sensor no cubrió y dice qué queda sin poder afirmarse ni descartarse. Quien lea el informe sabrá qué pedir a otras fuentes.