Lo que es normal en una red y cómo se mide

Una línea base es la descripción de lo que la red hace cuando nada va mal: qué protocolos dominan, por qué puertos, entre qué zonas y cuántos bytes mueven. Se arma con varios días de observación, no con uno, y se renueva cuando la empresa cambia (una sede nueva, un servicio nuevo). Sin ella, todo parece sospechoso o nada lo parece.

La línea base no dice qué es bueno: dice qué es habitual. Un protocolo inseguro puede estar en la línea base y seguir siendo un hallazgo (la sala siguiente lo trata).

Consulta linea_base y luego hora_observada. Compara el puerto y el porcentaje de cada fila.

El volumen también tiene calendario. Una fábrica mueve mucho en horas de oficina y poco de noche; un servicio que de madrugada sube tanto como a media mañana merece una pregunta. La línea base se mide por franja, y lo que se compara es la hora de hoy con la misma franja de la semana anterior.

En por_franja está el promedio de megabytes por hora de cada franja. Calcula cuántas veces más mueve una hora laboral que una hora de noche.

La línea base incluye quién origina cada tráfico. La administración de los equipos viene de una zona de administración, no de los puestos de oficina; las consultas de nombres vienen de los usuarios y van a un resolutor propio. Cuando el origen de un protocolo cambia (un puesto de oficina hablando con protocolos de administración), el cambio ya es la señal, aunque el volumen sea pequeño.

Mira en linea_base qué protocolo tiene como origen habitual la zona de Administración.

Que algo no esté en la línea base no lo hace malicioso. Puede ser un servicio nuevo que nadie documentó, una aplicación de un proveedor o una configuración distinta. Tampoco es ruido que se pueda ignorar. El orden sano es: identificar qué equipo lo origina, preguntar a su dueño qué es, comparar con lo que la empresa declara y solo entonces decidir si se documenta, se corrige o se bloquea con el proceso de cambios que la empresa tenga.