Anomalías de volumen y de destino

El tráfico de oficina es sobre todo de bajada: se pide una página y llega entera. Por eso la columna que se ordena primero es la de megabytes de salida hacia Internet. El equipo que más saca no es culpable por eso: es el primero que se mira.

Consulta flujos_hora y ordena mentalmente por mb_salida.

El volumen absoluto engaña: un equipo puede subir poco y aun así subir mucho más de lo que baja. La proporción entre salida y entrada funciona aunque el total sea pequeño. Se calcula dividiendo mb_salida entre mb_entrada; una navegación normal da menos de uno, y un valor muy por encima de uno es una señal que se verifica.

Calcula la proporción de pc-logistica-02.

La segunda señal es el destino. La empresa mantiene una lista de destinos externos que reconoce (el banco, el proveedor, el laboratorio) y un destino fuera de ella no es malo por serlo, pero nadie lo ha explicado. Cruzar flujos_hora con destinos_conocidos separa en segundos lo esperado de lo no explicado.

Busca el destino de flujos_hora que no figura en destinos_conocidos.

Una persona navega a rachas: unas conexiones juntas, un silencio, otras. Un programa que consulta un destino lo hace a un intervalo fijo. Un ritmo exacto no prueba nada por sí solo, porque las actualizaciones automáticas y los agentes de monitoreo también son regulares. Lo que lo vuelve notable es la combinación: ritmo exacto, destino que nadie reconoce y subida desproporcionada.

La tabla cadencia tiene la hora de cada conexión y los segundos desde la anterior. Compara los dos equipos.

pc-logistica-02 sube mucho más de lo que baja, pero su destino sí está en la lista de destinos conocidos. La señal de proporción es real y la de destino no aparece. Eso se resuelve preguntando, no bloqueando: una subida grande hacia un transportista puede ser el envío de las guías de despacho del mes.

Cuando la señal combinada sí está completa (destino no reconocido, ritmo exacto, subida desproporcionada), el siguiente paso es preservar evidencia y pedir una captura acotada al equipo, y ahí entra la especialidad Análisis de Tráfico de Red.