Registros de fluxo de rede
Um resumo de cada conversa na rede: origem, destino, porta e quantos bytes correram.
Nem sempre dá para guardar todo o tráfego da rede, mas dá para guardar um resumo de cada conversa: um registro de fluxo. Cada linha diz quando a conexão começou, o endereço de origem, o de destino, a porta, o protocolo e quantos bytes foram enviados e recebidos. Numa planilha, cada fluxo é uma linha e cada campo é uma coluna.
Para achar exfiltração (dados saindo), a ideia é comparar com o normal. O truque mais simples: ordenar pela coluna de bytes enviados, de cima para baixo. Aí você olha os maiores e pergunta duas coisas:
- O destino é interno ou externo? Um backup noturno que manda muitos bytes para outra máquina da própria rede (um endereço
192.0.2.x, por exemplo) é rotina. Muitos bytes saindo para um endereço de fora são suspeitos. - A hora faz sentido? Um envio grande de madrugada, quando ninguém está trabalhando, chama mais atenção que o mesmo envio no meio do dia.
Cuidado com dois disfarces: uma máquina de monitoramento abre muitos fluxos, mas cada um com pouquíssimos bytes (ela só cutuca os outros servidores); e uma transferência enorme pode ser legítima se o destino for interno. Exfiltração é volume grande para fora, em geral em hora estranha.