Registros de flujo de la nube

Un registro de flujo es metadatos: hora, interfaz, origen, destino, puertos, protocolo, decisión (aceptar o rechazar), paquetes y bytes, agrupados por una ventana de tiempo. No contiene datos de la aplicación: ni cabeceras web, ni consultas, ni archivos. Por eso responde bien a «quién habló con quién, cuándo y cuánto» y mal a «qué se dijeron». Para eso hacen falta registros de la aplicación, de la base de datos o captura de paquetes.

Consulta los flujos con accion = REJECT: una misma dirección de origen rechazada hacia muchos puertos distintos del mismo destino en pocos segundos es el patrón de un sondeo de puertos. Como defensor lo anotas como un hallazgo de exposición y de ruido de internet, sin atribuirlo a nadie: el rechazo muestra que los controles hicieron su trabajo. Busca la dirección que sondeó más puertos.

La decisión ACCEPT dice que los controles de red dejaron pasar el flujo, no que la aplicación contestara ni que el usuario fuera legítimo. Un ACCEPT hacia el puerto de administración desde una dirección de internet indica que la regla lo permitía: es una señal de exposición. Si además hubo intercambio de bytes, no sabes si hubo sesión iniciada ni con qué credenciales.

Consulta registros_de_flujo y busca el flujo hacia el puerto 22 con decisión ACCEPT cuyo origen es una dirección externa a la red de la empresa. La interfaz que aparece en esa fila es la de la máquina que recibió la conexión; es el punto de partida para ir a su grupo de seguridad y comprobar qué regla la permitió.

La base de datos aparece enviando datos hacia una dirección externa por el puerto 443 en dos momentos de la hora exportada. Usa la consulta de esa dirección y suma los bytes de los dos flujos. Es una cifra de volumen para llevar al dueño de la aplicación: puede ser una copia de respaldo legítima o no, y los registros de flujo por sí solos no lo deciden.