Registros de proxy para investigar

Una persona navega a saltos: páginas distintas, a horas irregulares, con respuestas grandes porque descarga imágenes y contenido. Un programa que consulta a un servidor externo para recibir órdenes o enviar señales de vida deja otro dibujo: el mismo dominio, a intervalos casi exactos, con pocos bytes y casi siempre del mismo tamaño, y suele ser un dominio sin categorizar o recién creado. Ese patrón de latido es una pista, no una condena: algunas aplicaciones legítimas también consultan cada cierto tiempo, y por eso se confirma con el equipo y su dueño antes de concluir.

Una limitación que conviene recordar: en una conexión cifrada que el proxy no inspecciona (estado TUNEL), el registro solo muestra el dominio y los bytes, no lo que viajó.

Filtra por categoria igual a Sin categorizar y mira las horas. Un equipo concreto repite la misma petición con una separación casi constante entre una y otra.

Medir el volumen ayuda a decidir la gravedad. Un latido de cientos de bytes por vez es una señal de vida, no una fuga masiva; una subida de decenas de megabytes es otra cosa. En ambos casos el dato que importa se suma, no se mira una fila sola.

Consulta lo que hizo el equipo de la tarea anterior y suma bytes_salida solo de sus peticiones a dominios sin categorizar.

El otro patrón que el registro delata es el de un envío grande hacia un servicio de almacenamiento personal. No siempre es una fuga: alguien puede estar guardando su propio trabajo. Pero es lo que una investigación de fuga de datos revisa primero, y la política de la empresa decide si debía estar permitido.

Compara los bytes_salida de las peticiones a almacenamiento personal.

Encontrar el patrón no cierra el caso: lo abre. Lo primero es conservar el registro tal cual está, con una copia y la fecha en que se tomó, porque es la evidencia; después, avisar al área que atiende los incidentes para que decida si aísla el equipo y revise el programa que genera el tráfico. Quien lee el registro no ejecuta nada contra el equipo ni borra líneas «para limpiar».