La salida de datos, cuánto y por dónde

Un flujo, una conversación de la captura o una línea de proxy cuentan qué equipo habló con qué destino, a qué hora y cuántos bytes movió en cada sentido. Es evidencia fuerte de volumen, de destino y de ventana. No cuentan qué archivos eran: el tráfico va cifrado, y aunque no lo fuera, un resumen no guarda contenido.

Esta frontera decide cómo se redacta todo lo demás. Lo que sale de la red se afirma como volumen y destino; lo que había dentro se afirma con otra fuente —el equipo de origen, el servidor de archivos, los registros de la aplicación— o se deja como desconocido.

Una captura de paquetes no se lee paquete a paquete: lo primero es su tabla de conversaciones, que resume cada par de direcciones y puertos con las tramas, los bytes en cada sentido, el inicio y la duración. Es lo que da una herramienta de análisis de capturas al pedir el resumen, y se lee igual que una tabla de flujos pero con el detalle del puerto de origen, que distingue una conversación de otra.

Dos advertencias. «A» es quien empieza la conversación, así que «bytes de A a B» es lo que envió el equipo; y la conversación que más pesa en total no tiene por qué ser la que más envió: una descarga de parches pesa mucho y casi no sube nada.

La cifra de la subida sale de sumar lo que el proxy anotó por cada túnel, filtrando lo que importa: el equipo, la categoría del destino y la ventana. Filtrar es la mitad del trabajo, porque en la misma tabla hay subidas legítimas, como una copia nocturna aprobada, que son mucho más grandes y que no tienen que entrar en la suma.

La suma va en bytes, sin separadores. El informe la convertirá a la unidad que entienda el lector; la cifra de trabajo se queda sin redondear, para que otro la pueda repetir.

Casi nadie se lleva datos que no ha reunido antes. Antes de la subida, el equipo leyó del servidor de archivos: es el paso de reunir. Las lecturas de esa noche aparecen como sesiones SMB con los bytes que respondió el servidor, y su suma dice cuánto material se juntó en el puesto antes de salir.

Esa cifra no es la de la fuga. Lo que se leyó y lo que se subió no tienen por qué coincidir: pueden haberse comprimido, filtrado o repetido. Se anotan las dos, cada una con su fuente, y la diferencia no se interpreta sin otra evidencia.

La frase del informe tiene que poder defenderse delante de quien decide qué se notifica. Va con el equipo, el destino, la ventana, la cifra y la fuente de cada dato; con lo que sí está probado y lo que no; y sin adjetivos. Una frase que afirma más de lo que prueba el registro, o que se queda corta para no alarmar, es la que luego hay que corregir en público.