SPAN y el monitoreo que no se olvida

Una sesión de reflejo toma el tráfico de uno o varios puertos o VLAN de origen y lo copia a un puerto de destino, donde conectas una sonda de detección o un analizador. Cuanto más amplio el origen, más contenido ajeno se copia, y quien conecte algo al puerto de destino ve lo que pasaba por el origen. Por eso el control no es técnico solo: cada sesión necesita un ticket, un responsable, un destino conocido, una fecha de vencimiento si es temporal y una lista corta de personas que puedan configurarla.

Abre el laboratorio. config.txt tiene dos sesiones de reflejo con su destino. sondas-autorizadas.txt es la lista que mantiene Seguridad de los puertos donde se permite conectar equipos de monitoreo. Un puerto de destino que no figura allí es un hallazgo aunque lo haya configurado alguien de confianza: lo que importa es que nadie lo declaró.

cat /span/config.txt
cat /span/sondas-autorizadas.txt

El registro de cambios tiene los tickets. Para cada sesión hay que poder decir cuál la autorizó; una sesión de destino no autorizado suele tener un ticket que describía otra cosa o que sigue abierto aunque su plazo pasó. Busca el que corresponde a la sesión cuyo origen es un troncal, y lee su descripción y su vencimiento.

cat /span/cambios.txt

Una autorización temporal que sigue en la configuración después de su fecha es, en la práctica, una autorización permanente que nadie decidió. La fecha de corte de la revisión es la que figura en el encabezado de la configuración. Cuenta los días que pasaron entre el vencimiento del ticket y esa fecha, incluyendo el día final y sin contar el de vencimiento.

head -1 /span/config.txt
cat /span/cambios.txt

El registro de comandos del conmutador dice qué usuario escribió cada línea y desde qué origen. No sirve para acusar a nadie, sino para reconstruir el hecho y corregir el proceso: la persona pidió algo temporal y el conmutador le dejó hacerlo con un permiso demasiado amplio, sin una aprobación posterior ni un vencimiento automático.

La recomendación completa tiene tres partes: retirar la sesión tras confirmar con quien la pidió que ya no se necesita, limitar el permiso de configurar sesiones de reflejo a un rol pequeño y registrar el vencimiento de cada sesión en el mismo registro de cambios.

cat /span/aaa.txt