Principales emisores y principales destinos

Los mismos flujos se agregan por origen o por destino y se ordenan por bytes, por flujos o por destinos distintos. Cada orden responde una pregunta diferente: los bytes dicen quién mueve datos, los flujos quién genera más conexiones, y los destinos distintos con cuántos pares diferentes habló el equipo.

Un equipo que explora muchas direcciones mueve poquísimos bytes y por eso nunca aparece arriba por volumen; un servidor de pedidos genera decenas de miles de flujos y es normal.

Un agregado se lee en direcciones, y el trabajo es traducirlas a equipos con el inventario de activos. Esa traducción es lo que convierte «una dirección grande» en «el servidor de archivos con la copia nocturna», y es lo que permite saber si es normal.

Consulta por_origen para ver quién envió más bytes en 24 horas y inventario para saber qué es.

El mismo ejercicio se hace por destino. Una dirección externa que recibe muchos bytes y de un solo origen suele ser un servicio contratado para ese uso: copias de seguridad, sincronización, una imprenta. La lista de destinos conocidos de la empresa dice si lo es.

Consulta por_destino y destinos_conocidos.

Entre los equipos con muchos destinos distintos hay uno que es esperado: el escáner de vulnerabilidades de TI, que tiene una ventana autorizada y recorre direcciones por diseño. Un agregado sin inventario lo pondría como el más sospechoso; con el inventario se descarta y se mira el siguiente.

Consulta por_origen y inventario: descarta el escáner y mira quién habló con más destinos distintos entre los demás.

Las proporciones ayudan a decidir si un volumen es normal o llama la atención. Una forma habitual es expresar el volumen de un equipo como parte del total del día, y compararlo con lo que ese equipo hace por diseño (un servidor de copias debe ser el mayor).

Consulta resumen_del_dia para el total de bytes salientes y por_origen para el mayor emisor.