Registros y desvíos de tráfico

Un desvío (bypass) manda cierto destino por fuera del servicio: no se inspecciona, no se aplica la política y, en general, no deja registro en el servicio. Hay motivos legítimos, como una aplicación que falla con la inspección o una exigencia contractual, pero cada desvío es un hueco en la visibilidad.

Una buena lista de desvíos dice, por cada uno, qué destino, por qué, quién responde y hasta cuándo.

Las excepciones temporales que nadie revisa se vuelven permanentes. Consulta desvios y busca la que no tiene motivo escrito, ni persona que responda, ni fecha de vencimiento, y que además cubre un rango completo de direcciones y no un solo servicio.

El agente instalado en el equipo manda el tráfico al servicio. Si deja de conectarse, el equipo sigue funcionando y navegando, pero ya no pasa por la política: del lado del servicio solo se nota por la ausencia de registros. Por eso se vigila la última conexión de cada agente y se fija un umbral.

Consulta agentes y contexto. Con un umbral de 30 días contados desde la fecha de la revisión, cuenta cuántos equipos lo superan.

Un registro de pasarela se lee con cuatro datos: quién (usuario y equipo), cuándo (con su zona horaria), qué (el destino) y qué se hizo (la acción). Con eso se reconstruye una actividad sin tener que preguntar a nadie.

Consulta registro_pasarela. Busca la acción de bloqueo que corresponde a la descarga de un ejecutable.

El registro del servicio está en UTC; las personas cuentan la hora en la de su país. Colombia está en UTC-5 y no cambia de hora en el año, de modo que las 9:11 de la mañana de una persona son las 14:11 UTC. Confundir la zona horaria lleva a buscar en una hora equivocada y concluir que no hay evidencia.