Consultas sobre registros de cortafuegos

Una consulta de registros combina cuatro piezas: de dónde (la tabla), qué filas (WHERE), cómo se agrupan (GROUP BY) y en qué orden se muestran. Para encontrar un origen que insiste, se filtra por las denegaciones, se agrupa por origen, se cuenta y se ordena de mayor a menor.

La consulta ya preparada hace justo eso. Ejecútala y mira quién queda arriba.

Cada evento trae el nombre de la regla que lo decidió. Agrupar por regla muestra cuáles trabajan mucho y cuáles casi nunca, y permite descubrir reglas de excepción que se volvieron permanentes. Las reglas con la palabra «temporal» en el nombre deberían tener fecha de vencimiento; si siguen decidiendo tráfico semanas después, es una pregunta para el dueño.

Mira qué regla permitió el tráfico hacia el puerto 8080.

Contar filas no es contar intentos distintos: un escáner que prueba cinco veces el mismo puerto cuenta cinco, y cinco equipos que prueban una vez también. La pregunta que se hace es qué se quiere medir: eventos, orígenes distintos o destinos distintos. Y se verifica contra las filas, porque una consulta mal escrita devuelve un número que parece razonable.

Cuenta las denegaciones hacia el puerto 445, el de compartir archivos en Windows.

Una denegación dice que el cortafuegos detuvo una conexión: es evidencia de que alguien lo intentó, no de que hubiera daño. Pero tampoco es ruido: un equipo interno que intenta decenas de veces llegar a un servicio de archivos externo puede tener un programa mal configurado o algo peor. Y lo permitido merece la misma lectura: una regla amplia permite lo que nadie pensó permitir.

Agrupar por destino y sumar los bytes permite ver adónde va el volumen. Un destino con mucho tráfico no es sospechoso por eso: puede ser la copia de respaldo en la nube. Lo útil es que alguien pueda decir qué es y que esté en el inventario. La consulta preparada suma los kilobytes de lo permitido.