Análisis de Tráfico de Red

¿Qué es el análisis de tráfico de red?

El análisis de tráfico de red (network forensics) es la disciplina de la informática forense dedicada a la captura, registro y examen sistemático de los datos que circulan por una red informática. Su objetivo es reconstruir comunicaciones, detectar actividad maliciosa, identificar la exfiltración de datos y documentar intrusiones con procedimientos orientados a preservar el valor probatorio de lo capturado. Que la prueba se admita y con qué alcance lo decide el tribunal, no el método.

A diferencia de otras ramas del forense digital que trabajan con datos almacenados en disco (evidencia en reposo), el análisis de tráfico de red trabaja fundamentalmente con evidencia volátil: los paquetes de datos viajan por la red y, si no son capturados en el momento, se pierden para siempre. Esto convierte a la captura de tráfico en una de las técnicas forenses más sensibles al tiempo y que requiere mayor planificación previa.

El análisis de tráfico de red es determinante en la investigación de una intrusión porque permite responder a preguntas fundamentales: qué sistemas se comunicaron, cuándo, durante cuánto tiempo, qué volumen de datos se transfirió y hacia dónde.

Incluso cuando el contenido está cifrado, los metadatos del tráfico revelan patrones de comportamiento críticos para la investigación.

Fundamentos técnicos

Modelo de captura de tráfico

La captura de tráfico de red puede realizarse en diferentes niveles, cada uno con distinto grado de detalle y requisitos de almacenamiento:

Formato PCAP

El formato estándar para almacenar capturas de tráfico de red es PCAP (Packet Capture) y su versión moderna PCAPNG (PCAP Next Generation). Estos archivos guardan los bytes efectivamente capturados de cada paquete —la longitud capturada puede ser menor que la original—, incluyendo:

Estructura de un archivo PCAP:
+-------------------+
| Global Header     |  (magic number, version, timezone, max packet length)
+-------------------+
| Packet Header 1   |  (timestamp, captured length, original length)
| Packet Data 1     |  (bytes completos del paquete)
+-------------------+
| Packet Header 2   |  (timestamp, captured length, original length)
| Packet Data 2     |  (bytes completos del paquete)
+-------------------+
| ...               |
+-------------------+

Los archivos PCAP son la materia prima del análisis forense de red. La analogía con la imagen forense de disco ayuda, pero conviene no llevarla lejos: un pcap no es una copia bit a bit del cable. Si hay snaplen que trunca, descarga de segmentación en la tarjeta (offload) que altera lo que se ve, o pérdida de paquetes por saturación, lo que queda en el fichero difiere de lo que circuló.

Puntos de captura en la red

Técnicas de análisis forense de red

1. Análisis de flujos (flow analysis)

El análisis de flujos examina los metadatos de las conexiones de red sin entrar en el contenido de los paquetes. Es especialmente útil para detectar patrones anómalos a gran escala.

Qué revela un flujo NetFlow:

Patrones sospechosos en flujos:

2. Deep Packet Inspection (DPI)

El análisis profundo de paquetes examina el contenido (payload) de cada paquete para reconstruir comunicaciones, extraer archivos transferidos e identificar protocolos.

Información extraíble con DPI:

Protocolo HTTP (no cifrado):
- URLs completas visitadas
- Cabeceras HTTP (User-Agent, Cookies, Referer)
- Datos enviados en formularios (POST)
- Archivos descargados o subidos
- Credenciales en texto claro (si no hay HTTPS)

Protocolo DNS:
- Todos los dominios consultados por cada equipo
- Respuestas DNS (IPs resueltas)
- Consultas DNS sospechosas (exfiltración vía DNS)
- Fast-flux domains (IPs que cambian rápidamente)

Protocolo SMB/CIFS:
- Archivos compartidos accedidos
- Credenciales NTLM (hashes)
- Movimiento lateral entre equipos Windows

Protocolo SMTP (email no cifrado):
- Remitente y destinatario
- Asunto y cuerpo del mensaje
- Archivos adjuntos

3. Análisis de protocolos

El análisis forense de protocolos específicos permite reconstruir actividades concretas:

4. Detección de movimiento lateral en tráfico de red

La detección de movimiento lateral es una de las aplicaciones más críticas del análisis de tráfico de red en investigaciones de intrusiones:

Caso práctico: exfiltración de datos vía DNS tunneling

Escenario

Una empresa de ingeniería con propiedad intelectual sensible (planos de diseño, patentes en trámite) detecta anomalías en su tráfico DNS. El volumen de consultas DNS ha aumentado un 400% en las últimas semanas, y los logs del servidor DNS interno muestran patrones inusuales.

Investigación forense

Fase 1: Identificación del tráfico anómalo

## Consulta DNS normal
Query: www.google.com
Type: A
Response: 142.250.185.206

## Consulta DNS sospechosa (DNS tunneling)
Query: aGVsbG8gd29ybGQ.data.atacante-c2-server.invalid
Type: TXT
Response: TXT "dGhpcyBpcyB0aGUgcmVzcG9uc2U="

## El subdominio contiene datos codificados en Base64:
## "aGVsbG8gd29ybGQ" = "hello world" (ejemplo simplificado)
## En la práctica, fragmentos de archivos exfiltrados

Fase 2: Análisis de la captura pcap

Fase 3: Timeline reconstruido

Fase 4: Cuantificación

Marco legal en España

Licitud de la captura de tráfico

La captura y análisis de tráfico de red en el ámbito corporativo está sujeta a regulación específica:

Requisitos para que la evidencia de red sea admisible

Referencia a ISO 27037

La ISO/IEC 27037:2012 es la guía de identificación, recogida, adquisición y preservación de evidencia digital. Su texto oficial no es de acceso abierto, así que no se le atribuyen aquí recomendaciones concretas sobre tráfico de red: citar una norma sin haber leído su tenor literal es precisamente lo que la contraparte verifica primero.

Lo que sí está publicado y es citable son estas prácticas, recogidas en NIST SP 800-86 y en la RFC 3227:

• Priorizar la captura de tráfico en vivo por el orden de volatilidad, antes que la adquisición de discos
• Documentar la topología de red y los puntos de captura
• Sincronizar las marcas de tiempo con fuentes NTP verificables
• Mantener la cadena de custodia desde el momento de la captura

Y una precisión que se repite mal: el bloqueador de escritura se aplica al medio que se clona, no al fichero pcap que se está escribiendo. Un pcap en curso de captura no puede estar en un medio de solo lectura, por definición.

Herramientas forenses de análisis de red

Captura de tráfico

Análisis de paquetes

Análisis de flujos

Análisis avanzado

Filtros de Wireshark esenciales para forense

En investigaciones forenses con Wireshark, estos filtros permiten aislar rápidamente la actividad relevante:

Limitaciones del análisis forense de red

Cifrado

El cifrado TLS/HTTPS impide acceder al contenido de la comunicación sin las claves privadas. Alternativas:

Volumen de datos

La captura de paquetes completa genera volúmenes enormes. El orden de magnitud sale de una cuenta, no de una medición: 1 Gbps × 30 % sostenido × 86.400 s ÷ 8 = 3,24 TB decimales al día, y eso antes de descontar overhead, filtros, truncado por snaplen, pérdidas y compresión. En una red real el número se mide, no se hereda. Las estrategias de mitigación incluyen captura selectiva, rotación de archivos pcap y uso combinado de full capture (corto plazo) con NetFlow (largo plazo).

Fragmentación y evasión

Atacantes sofisticados pueden utilizar técnicas de evasión:

Relación con otros conceptos

El análisis de tráfico de red se conecta con múltiples disciplinas del peritaje informático forense:

• Dirección IP: Las direcciones IP de origen y destino son el dato fundamental de toda captura de tráfico de red, permitiendo identificar los equipos involucrados en la comunicación y su ubicación geográfica aproximada.

• Trazabilidad de IPs: El análisis de tráfico proporciona la evidencia técnica necesaria para la trazabilidad de IPs, documentando las conexiones establecidas con timestamps verificables que permiten solicitar información a ISPs y proveedores de servicios.

• Movimiento lateral: La detección de movimiento lateral en la red (conexiones SMB entre estaciones, RDP anómalo, PsExec) es una de las aplicaciones más críticas del análisis forense de tráfico de red en investigaciones de intrusiones.

• Logs de sistema: Los logs del sistema operativo, del firewall y del IDS/IPS complementan las capturas de tráfico, proporcionando contexto adicional sobre las conexiones observadas (usuario asociado, proceso que inició la conexión, reglas de firewall aplicadas).

• Data exfiltration: El análisis de tráfico de red es la técnica principal para detectar y cuantificar la exfiltración de datos, identificando transferencias anómalas de volumen, destinos sospechosos y canales encubiertos como DNS tunneling.

¿Necesitas analizar tráfico de red como parte de una investigación forense? Contacta con Digital Perito para un análisis forense de red documentado y ratificable en sala.

Última actualización: 29 de agosto de 2026 Categoría: Técnico Código: NET-001

Referencias y fuentes

1. Google — Informe de Transparencia: cifrado HTTPS en la web. Porcentajes de tráfico cifrado por plataforma, actualizados semanalmente: conviene citar la fecha de consulta, porque el dato cambia.
2. ISO/IEC 27037:2012 — principios de identificación, recogida, adquisición y preservación de la evidencia digital, de los que se derivan las prioridades de captura en red.
3. RFC 1035 — Domain Names — Implementation and Specification, IETF: estructura de la consulta DNS que hace posible el tunneling.
4. MITRE ATT&CK — T1071.004: Application Layer Protocol: DNS, técnica catalogada con sus contramedidas de detección.