Estructura de una captura y de un paquete

Una captura guardada no es «el tráfico»: es un archivo. Hoy se guarda sobre todo en el formato clásico pcap o en pcapng, que añade bloques con datos de la interfaz y comentarios. Junto a cada paquete se guarda su hora, su longitud en el cable (la que tenía al pasar) y su longitud capturada (la que se guardó).

Quien configura la captura puede fijar una longitud máxima por paquete. Con ella se ahorra espacio y se evita guardar contenido de más, pero lo que excede de ese límite no se guarda: el principio del paquete queda y el final no.

Abre archivo y paquetes, y compara las dos longitudes.

Un paquete es una pila de cabeceras, una dentro de otra. La más externa es Ethernet: direcciones físicas de origen y destino y el tipo de lo que contiene. Dentro va IPv4: direcciones IP, tiempo de vida (TTL), el protocolo que transporta y la longitud total. Dentro de IP va TCP o UDP: puertos, banderas, números de secuencia y la ventana. Lo que queda después de las cabeceras son los datos de la aplicación.

Los analizadores de paquetes muestran esas capas desplegadas, una por una. Abre capas_paquete_7.

La longitud total de la cabecera IPv4 cuenta todo lo que va desde el inicio de IP hasta el final del paquete: la cabecera IP, la cabecera TCP y los datos de la aplicación. Por eso los datos se obtienen restando las dos cabeceras de esa longitud total. La longitud de la cabecera TCP no es fija: crece cuando el paquete lleva opciones.

Usa las longitudes de las capas del paquete 7.

Cada paquete lleva la hora del reloj del equipo que capturó. Si ese reloj está desfasado, todas las horas del archivo lo están, y al cruzarlas con los registros del cortafuegos o del servidor aparecen coincidencias falsas o desaparecen las verdaderas. Por eso el desfase se mide contra el servidor de hora, se anota en el informe y se corrige antes de comparar.

Si el reloj iba adelantado, la hora real es anterior a la registrada; si iba atrasado, es posterior.

Una captura solo contiene lo que pasó por el punto donde se tomó. Un puerto espejo copia el tráfico de otro puerto o de un enlace; todo lo que no cruzó ese punto no está en el archivo, y su ausencia no prueba que no ocurriera. Por eso el informe empieza diciendo dónde, cuándo y con qué autorización se capturó, y limita sus afirmaciones a eso.

Relee el campo «Punto de captura» de archivo.