Registro de conexiones y su identificador

Cada fila de conexión trae un estado que resume su ciclo de vida: si se completó, si se rechazó, si nadie contestó. Los estados más comunes son SF (establecida y cerrada con normalidad), S0 (se vio el intento de conexión pero no hubo respuesta), REJ (el destino rechazó el intento) y RSTO (conexión establecida que quien la inició abortó con un reinicio).

Un estado raro no es una acusación: puede ser un cortafuegos que descarta, un servicio caído o un equipo mal configurado. Pero muchas filas con el mismo estado raro desde un mismo origen son un patrón que merece una pregunta al dueño del equipo.

Las columnas orig_bytes y resp_bytes cuentan los bytes de la carga que envió cada extremo: el primero, los que mandó quien inició la conexión; el segundo, los que devolvió el destino. En una estación de oficina lo normal es que se reciba más de lo que se envía. Una conexión que envía mucho y recibe poco es la primera que se mira, no porque sea culpable sino porque es lo que destaca.

Consulta conn y compara orig_bytes. Cada conexión tiene un identificador propio en la columna uid.

El registro habla de direcciones; el trabajo habla de equipos. El paso de una a otra se hace con el inventario, y el inventario puede estar desactualizado, así que se cita la fecha de la consulta. Un patrón de estado repetido desde una sola dirección se traduce así: primero se cuenta, luego se identifica el equipo y por último se le pregunta a su responsable.

Consulta las conexiones con estado S0 y cuenta por origen; después busca la dirección en inventario.

Para estimar cuánto trajo un equipo de un destino hay que sumar varias conexiones: una página o una aplicación rara vez usa solo una. El filtro correcto es por origen y por destino y por puerto; con el origen solo se mezclan conversaciones distintas.

Consulta las conexiones que inició 198.51.100.21 y toma las que van a 203.0.113.40 por el puerto 443.

Una fila de conexión se escribe cuando la conexión termina (o cuando se agota su tiempo). La hora que lleva es la del primer paquete. Por eso una conexión que dura media hora aparece en el registro media hora después de empezar, con una hora antigua, y puede quedar «fuera de orden» respecto a filas más recientes. Quien busca algo reciente en el registro debe recordar que lo que aún sigue abierto todavía no está escrito.