Análisis de Tráfico de Red

¿Qué es el análisis de tráfico de red?

El análisis de tráfico de red (network forensics) es la disciplina de la informática forense dedicada a la captura, registro y examen sistemático de los datos que circulan por una red informática. Su objetivo es reconstruir comunicaciones, detectar actividad maliciosa, identificar la exfiltración de datos y documentar intrusiones de forma que la evidencia obtenida sea admisible en procedimientos judiciales.

A diferencia de otras ramas del forense digital que trabajan con datos almacenados en disco (evidencia en reposo), el análisis de tráfico de red trabaja fundamentalmente con evidencia volátil: los paquetes de datos viajan por la red y, si no son capturados en el momento, se pierden para siempre. Esto convierte a la captura de tráfico en una de las técnicas forenses más sensibles al tiempo y que requiere mayor planificación previa.

Según el informe de SANS Institute “Network Forensics: Tracking Hackers through Cyberspace”, el análisis de tráfico de red es determinante en más del 70% de las investigaciones de intrusiones corporativas, ya que permite responder a preguntas fundamentales: qué sistemas se comunicaron, cuándo, durante cuánto tiempo, qué volumen de datos se transfirió y hacia dónde. Incluso cuando el contenido está cifrado, los metadatos del tráfico revelan patrones de comportamiento críticos para la investigación.

Fundamentos técnicos

Modelo de captura de tráfico

La captura de tráfico de red puede realizarse en diferentes niveles, cada uno con distinto grado de detalle y requisitos de almacenamiento:

Formato PCAP

El formato estándar para almacenar capturas de tráfico de red es PCAP (Packet Capture) y su versión moderna PCAPNG (PCAP Next Generation). Estos archivos contienen la copia bit a bit de cada paquete capturado, incluyendo:

Estructura de un archivo PCAP:
+-------------------+
| Global Header     |  (magic number, version, timezone, max packet length)
+-------------------+
| Packet Header 1   |  (timestamp, captured length, original length)
| Packet Data 1     |  (bytes completos del paquete)
+-------------------+
| Packet Header 2   |  (timestamp, captured length, original length)
| Packet Data 2     |  (bytes completos del paquete)
+-------------------+
| ...               |
+-------------------+

Los archivos PCAP son la materia prima del análisis forense de red. Son el equivalente a una imagen forense de disco, pero para el tráfico de red.

Puntos de captura en la red

Técnicas de análisis forense de red

1. Análisis de flujos (flow analysis)

El análisis de flujos examina los metadatos de las conexiones de red sin entrar en el contenido de los paquetes. Es especialmente útil para detectar patrones anómalos a gran escala.

Qué revela un flujo NetFlow:

Patrones sospechosos en flujos:

2. Deep Packet Inspection (DPI)

El análisis profundo de paquetes examina el contenido (payload) de cada paquete para reconstruir comunicaciones, extraer archivos transferidos e identificar protocolos.

Información extraíble con DPI:

Protocolo HTTP (no cifrado):
- URLs completas visitadas
- Cabeceras HTTP (User-Agent, Cookies, Referer)
- Datos enviados en formularios (POST)
- Archivos descargados o subidos
- Credenciales en texto claro (si no hay HTTPS)

Protocolo DNS:
- Todos los dominios consultados por cada equipo
- Respuestas DNS (IPs resueltas)
- Consultas DNS sospechosas (exfiltración vía DNS)
- Fast-flux domains (IPs que cambian rápidamente)

Protocolo SMB/CIFS:
- Archivos compartidos accedidos
- Credenciales NTLM (hashes)
- Movimiento lateral entre equipos Windows

Protocolo SMTP (email no cifrado):
- Remitente y destinatario
- Asunto y cuerpo del mensaje
- Archivos adjuntos

3. Análisis de protocolos

El análisis forense de protocolos específicos permite reconstruir actividades concretas:

4. Detección de movimiento lateral en tráfico de red

La detección de movimiento lateral es una de las aplicaciones más críticas del análisis de tráfico de red en investigaciones de intrusiones:

Caso práctico: exfiltración de datos vía DNS tunneling

Escenario

Una empresa de ingeniería con propiedad intelectual sensible (planos de diseño, patentes en trámite) detecta anomalías en su tráfico DNS. El volumen de consultas DNS ha aumentado un 400% en las últimas semanas, y los logs del servidor DNS interno muestran patrones inusuales.

Investigación forense

Fase 1: Identificación del tráfico anómalo

# Consulta DNS normal
Query: www.google.com
Type: A
Response: 142.250.185.206

# Consulta DNS sospechosa (DNS tunneling)
Query: aGVsbG8gd29ybGQ.data.atacante-c2-server.net
Type: TXT
Response: TXT "dGhpcyBpcyB0aGUgcmVzcG9uc2U="

# El subdominio contiene datos codificados en Base64:
# "aGVsbG8gd29ybGQ" = "hello world" (ejemplo simplificado)
# En la práctica, fragmentos de archivos exfiltrados

Fase 2: Análisis de la captura pcap

Fase 3: Timeline reconstruido

Fase 4: Cuantificación

Marco legal en España

Licitud de la captura de tráfico

La captura y análisis de tráfico de red en el ámbito corporativo está sujeta a regulación específica:

Requisitos para que la evidencia de red sea admisible

Referencia a ISO 27037

La norma ISO 27037 proporciona directrices específicas para la recopilación de evidencia digital en red:

• Priorizar la captura de tráfico en vivo (evidencia volátil) antes que la adquisición de discos
• Documentar la topología de red y los puntos de captura
• Sincronizar timestamps con fuentes NTP verificables
• Utilizar write-blockers o medios de solo lectura para almacenar capturas
• Mantener la cadena de custodia desde el momento de la captura

Herramientas forenses de análisis de red

Captura de tráfico

Análisis de paquetes

Análisis de flujos

Análisis avanzado

Filtros de Wireshark esenciales para forense

En investigaciones forenses con Wireshark, estos filtros permiten aislar rápidamente la actividad relevante:

Limitaciones del análisis forense de red

Cifrado

El cifrado TLS/HTTPS impide acceder al contenido de la comunicación sin las claves privadas. Alternativas:

Volumen de datos

La captura de paquetes completa genera volúmenes enormes. En una red de 1 Gbps con un 30% de utilización, se generan aproximadamente 3.2 TB de datos por día. Las estrategias de mitigación incluyen captura selectiva, rotación de archivos pcap y uso combinado de full capture (corto plazo) con NetFlow (largo plazo).

Fragmentación y evasión

Atacantes sofisticados pueden utilizar técnicas de evasión:

Relación con otros conceptos

El análisis de tráfico de red se conecta con múltiples disciplinas del peritaje informático forense:

• Dirección IP: Las direcciones IP de origen y destino son el dato fundamental de toda captura de tráfico de red, permitiendo identificar los equipos involucrados en la comunicación y su ubicación geográfica aproximada.

• Trazabilidad de IPs: El análisis de tráfico proporciona la evidencia técnica necesaria para la trazabilidad de IPs, documentando las conexiones establecidas con timestamps verificables que permiten solicitar información a ISPs y proveedores de servicios.

• Movimiento lateral: La detección de movimiento lateral en la red (conexiones SMB entre estaciones, RDP anómalo, PsExec) es una de las aplicaciones más críticas del análisis forense de tráfico de red en investigaciones de intrusiones.

• Logs de sistema: Los logs del sistema operativo, del firewall y del IDS/IPS complementan las capturas de tráfico, proporcionando contexto adicional sobre las conexiones observadas (usuario asociado, proceso que inició la conexión, reglas de firewall aplicadas).

• Data exfiltration: El análisis de tráfico de red es la técnica principal para detectar y cuantificar la exfiltración de datos, identificando transferencias anómalas de volumen, destinos sospechosos y canales encubiertos como DNS tunneling.

¿Necesitas analizar tráfico de red como parte de una investigación forense? Contacta con Digital Perito para un análisis forense de red completo con validez judicial.

Última actualización: 10 de febrero de 2026 Categoría: Técnico Código: NET-001