CyberGlossary

Forense y respuesta

Forense de red

También conocido como: NetFor, Forense de tráfico

Definición

Captura, registro y análisis del tráfico y metadatos de red para investigar eventos de seguridad y reconstruir la actividad del atacante.

El forense de red examina capturas de paquetes (PCAP), NetFlow/IPFIX, DNS, proxy, firewall e IDS para identificar vectores de intrusión, canales de exfiltración, mando y control y movimiento lateral. Va desde captura completa permanente hasta sniffing dirigido en puntos clave. Herramientas habituales: Wireshark, Zeek, Suricata, tcpdump, Arkime/Moloch y plataformas NDR comerciales. Los analistas correlacionan flujos con datos de endpoint y SIEM, decodificando protocolos (HTTP, metadatos TLS, DNS, SMB) y aplicando huellas JA3/JA4 para detectar clientes sospechosos. Dado lo efímero del tráfico, las políticas de retención, el almacenamiento seguro y la cadena de custodia desde los sensores son críticos para la admisibilidad según ISO/IEC 27037.

Ejemplos

  • Reconstrucción de sesiones HTTP C2 a partir de conn.log de Zeek y un PCAP.
  • Identificación de exfiltración por túnel DNS analizando distribución de longitud de consultas en NetFlow.

Términos relacionados