Dónde se coloca el sensor y lo que ve

Hay dos formas de dar tráfico a un sensor. En la primera recibe una copia: un puerto espejo del conmutador o una derivación pasiva en el cable le entregan lo mismo que pasa, y el tráfico original sigue su ruta sin tocarlo. En la segunda está en línea: el tráfico entra por una de sus interfaces y sale por la otra, así que lo que él no deje pasar no llega.

La primera forma no puede cortar nada y, si el sensor se cae, la red ni se entera. La segunda sí puede cortar, y por eso mismo su caída puede cortar también el servicio: es un equipo más en el camino. Quien opera el sensor decide con ese precio en la mano, zona por zona.

La consola trae el inventario de sensores de la empresa: modo, ubicación, forma de captura, capacidad y pico de los últimos 30 días. La columna de captura dice si el sensor recibe una copia o está en el camino.

Consulta sensores y localiza el que está en línea. Es el único de los tres que puede descartar tráfico de verdad.

Un mapa de cobertura es una tabla con una fila por zona y una columna: qué sensor la ve. Lo importante de ese mapa son las filas donde la columna dice «ninguno», porque ahí no habrá alertas y es fácil confundir esa calma con salud.

Consulta cobertura. Una de las seis zonas no la ve ningún sensor.

Un sensor tiene una capacidad en megabits por segundo, y su pico real debería quedar por debajo. Cuando el tráfico supera lo que el motor puede inspeccionar, el sistema descarta paquetes antes de que ninguna regla los vea. El porcentaje de paquetes descartados es el síntoma: lo ideal es que se acerque a cero.

Compara pico y capacidad en sensores. Un paquete descartado es un paquete que ninguna regla vio, así que si tenía algo que una regla buscaba, no habrá alerta ni nadie sabrá que debía haberla.

El sensor que se desborda está delante del cortafuegos, donde ve todo lo que llega de Internet, incluido lo que el cortafuegos va a negar de todas formas. Hay dos caminos para arreglarlo, y no son excluyentes: dar más capacidad al sensor o reducir lo que se le manda.