Qué es el análisis de tráfico y dónde estamos

En Redes para ciberseguridad aprendió a leer paquetes sueltos con Wireshark. Este curso lo lleva un nivel más arriba: el análisis de tráfico como disciplina defensiva, con las tres herramientas que forman la columna vertebral del monitoreo de red moderno. Esta lección es el mapa: qué asumimos que ya sabe, qué cambia en este nivel y cómo encajan las piezas.

Qué es el análisis de tráfico de red

El análisis de tráfico de red (en inglés network traffic analysis, NTA) consiste en observar las comunicaciones que circulan por una red para entender qué está pasando y detectar lo que no debería estar pasando. No es lo mismo que leer un paquete: es mirar miles de conexiones, resumirlas, compararlas con lo normal y encontrar la aguja en el pajar.

En seguridad se habla de NSM, network security monitoring, un término que popularizó Richard Bejtlich: la práctica de recoger, analizar y escalar indicios de que un atacante está dentro. La idea de fondo es sencilla: un atacante puede borrar los registros de un equipo que controla, pero le cuesta mucho más esconder el tráfico que genera al moverse por la red. La red no miente tan fácil.

Qué asumimos y qué cambia en este nivel

Damos por sabidos, del curso anterior: el modelo TCP/IP y el encapsulamiento, direcciones IP y puertos, el saludo de tres pasos de TCP, DNS y HTTP/HTTPS, y el uso básico de Wireshark con filtros de visualización. Si algo de eso le suena lejano, repáselo antes de seguir.

Lo que cambia aquí es la escala y el objetivo. Antes miraba una conversación; ahora va a vigilar una red entera. Para eso no basta con el paquete: hacen falta tres capas de trabajo que este curso recorre en orden.

Las tres herramientas y los tres niveles de evidencia

El NSM clásico distingue varios tipos de datos. Nos centramos en tres, de más detalle a más resumen, cada uno con su herramienta de referencia:

Nivel	Qué es	Herramienta	Módulo
Contenido completo	Cada byte de cada paquete (pcap)	Wireshark y tshark	1
Datos de transacción	Metadatos de cada conexión y protocolo	Zeek	2
Alertas	Avisos cuando algo coincide con una firma	Suricata	3

El contenido completo es el más preciso pero ocupa muchísimo: no se puede guardar semanas de todo el tráfico. Los metadatos de Zeek resumen cada conexión en una línea y se conservan por mucho más tiempo, ideales para investigar hacia atrás. Las alertas de Suricata avisan en el momento cuando algo conocido ocurre. Un buen defensor usa los tres: la alerta le dice dónde mirar, los metadatos le dan el contexto y el pcap le confirma el detalle.

Dónde se usa

• SOC: el centro de operaciones de seguridad vigila alertas de Suricata y pivotea a los logs de Zeek para decidir si una alerta es real.
• Respuesta a incidentes: tras una intrusión, los metadatos de red reconstruyen qué equipos habló el atacante y cuándo.
• Caza de amenazas: el analista parte de una hipótesis ("busco beaconing") y la busca en el tráfico sin esperar a una alerta.
• Forense de red: reconstruir una sesión, extraer un archivo transferido o probar qué se exfiltró.

Conceptos clave de este curso

Concepto	Qué significa
pcap	Archivo con los paquetes capturados tal cual viajaron por la red
SPAN / TAP	Formas de copiar el tráfico de la red hacia donde usted captura
Flujo	Una conversación entre dos extremos (IP y puerto de origen y destino)
Metadato	Dato sobre la conexión (quién, cuándo, cuánto) sin el contenido
Firma / regla	Patrón que, al cumplirse, dispara una alerta en un IDS
IDS / IPS	Sistema que detecta (IDS) o además bloquea (IPS) tráfico malicioso
Baselining	Conocer qué es normal para poder reconocer lo anómalo
Beaconing	Conexiones periódicas y regulares de un equipo comprometido hacia su C2

Una advertencia sobre el cifrado

Hoy casi todo el tráfico web va cifrado con TLS, así que el contenido rara vez se ve en claro. Eso no deja ciego al defensor: quedan los metadatos (a dónde se conecta, cuánto dura, cuántos bytes, cada cuánto) y los datos del propio handshake (el nombre del servidor en el SNI, el certificado, la huella del cliente). Gran parte de este curso consiste precisamente en detectar lo malo sin leer el contenido, mirando el patrón en vez del mensaje.

Con este mapa en la cabeza, en la próxima lección baja al terreno: dónde pinchar la red para capturar y cómo hacerlo desde la terminal con tshark.