Qué ve el monitoreo, flujos frente a captura completa

Un punto de monitoreo es el lugar de la red donde se registra el tráfico: el cortafuegos del borde, un puerto espejo de un conmutador, un proxy. Cada zona debería tener al menos uno, y las más críticas, el más rico. Lo primero de una revisión es cruzar la lista de zonas con la lista de puntos para ver si alguna zona queda sin mirar.

Un hueco de cobertura no se nota en el día a día, porque nada se registra donde nadie mira. Solo se nota cuando hace falta la evidencia.

Consulta zonas y mira la columna punto_de_monitoreo.

Un registro de flujo (por ejemplo los que exportan el protocolo IPFIX, RFC 7011) guarda un resumen por conversación: direcciones, puertos, momento, paquetes y bytes. No guarda el contenido. Es pequeño, y por eso se conserva meses.

La captura completa guarda cada paquete, con su contenido. Responde casi todo, pero ocupa muchísimo, y por eso se conserva días. El espacio que ocupa es el volumen diario por los días de retención.

Consulta puntos y calcula cuántos gigabytes ocupa la captura completa de la DMZ cuando está llena.

La pregunta del incidente decide qué dato sirve. «Qué equipos hablaron con esta dirección el mes pasado» se contesta con flujos, porque la captura de ese día ya no existe. «Qué texto llevaba esta petición» solo se contesta con la captura, y solo si todavía se conserva y si el tráfico no iba cifrado.

La tabla preguntas clasifica seis preguntas típicas. Cuenta las que solo la captura contesta.

Un registro de flujo dice que hubo una conversación de 2 150 megabytes entre dos direcciones. No dice qué archivo era, ni si contenía datos de clientes, ni qué se pidió. Por eso un hallazgo de flujos casi siempre termina en una pregunta al dueño del equipo o en una captura acotada, nunca en una conclusión sobre el contenido.

Un punto solo ve lo que cruza el punto. El cortafuegos del borde ve el tráfico entre zonas y hacia Internet, pero no el que dos servidores de la misma zona se envían a través del mismo conmutador. Lo mismo vale para un puerto espejo: ve lo que su conmutador le copia. Por eso la lista de puntos se acompaña de lo que no cubre.