La captura de paquetes (PCAP) es el proceso de interceptar y registrar el tráfico de red —el contenido completo o las cabeceras de los paquetes que atraviesan una interfaz— en un archivo para su posterior análisis. Constituye la base de la resolución de problemas de red, el análisis de intrusiones y el análisis forense de cumplimiento normativo, ya que permite a los analistas reproducir exactamente lo que se ha transmitido por la red.
Puntos clave
- La captura de paquetes registra el tráfico sin procesar con fines de resolución de problemas y análisis forense.
- Las capturas pueden ser completas, filtradas o activadas en función de un evento concreto.
- El formato de archivo pcap/pcapng es un estándar de facto del sector.
- Versa Los NGFW y los IDP registran los eventos de seguridad detectados.
- Los nodos de análisis almacenan las capturas para su descarga y revisión sin conexión.
En esta página: Por qué es importanteCómo funcionaTiposCaptura de paquetes y VersaPreguntas frecuentes
¿Por qué es importante la captura de paquetes?
La mayoría de las herramientas de red y seguridad ofrecen un resumen del tráfico —un registro de flujo, una alerta de amenaza, un registro de sesión—, pero ese resumen puede ocultar los detalles que explican lo que realmente ocurrió. La captura de paquetes conserva el tráfico en sí mismo: las cabeceras exactas, las cargas útiles y la sincronización de cada trama que atraviesa una interfaz, de modo que un analista puede reproducir una conversación byte a byte en lugar de basarse en una inferencia extraída de ella.
Esto cobra mayor importancia cuando hay que demostrar algo, y no solo señalarlo. Una alerta de detección de intrusiones indica que se ha encontrado una coincidencia de firma; la captura de paquetes relacionada con esa coincidencia muestra si se trataba de un intento real de ataque o de un falso positivo, y qué envió realmente el atacante. Una llamada VoIP interrumpida o una respuesta lenta de una aplicación solo pueden diagnosticarse a partir de las estadísticas de flujo hasta cierto punto; una captura muestra directamente las retransmisiones o los paquetes mal formados. Dado que las capturas consumen muchos recursos, la mayoría de las implementaciones las ejecutan de forma selectiva —activadas por un evento de seguridad o una ventana de diagnóstico— en lugar de hacerlo de forma continua.
¿Qué es la captura de paquetes?
Una captura de paquetes consiste en copiar los paquetes a medida que pasan por una interfaz supervisada, sin alterar la forma en que dichos paquetes se reenvían realmente. Un agente de captura —una biblioteca de software como libpcap, un «tap» de hardware o una función integrada en un dispositivo de red— se conecta a la interfaz, compara el tráfico con un filtro opcional y escribe en un archivo los bytes sin procesar de cada paquete que cumple los criterios, junto con una marca de tiempo.
El formato de archivo estándar de facto para esos datos es el formato pcap y su sucesor, pcapng, que la mayoría de las herramientas de análisis leen y escriben indistintamente. Las capturas pueden registrar cada byte de cada paquete o, lo que es más habitual a gran escala, capturar solo las cabeceras o un número limitado de paquetes en torno a un evento desencadenante, sacrificando almacenamiento a cambio de los detalles específicos que requiere una investigación. Una vez guardado, el archivo es portátil: se puede descargar y abrir sin conexión en un analizador de protocolos como Wireshark para reconstruir sesiones y diagnosticar exactamente qué envió o recibió un dispositivo.
Tipos de captura de paquetes
La captura completa (continua) registra todos los paquetes que pasan por una interfaz mientras está activa; ofrece una fidelidad total, pero consume rápidamente espacio en disco y recursos de la CPU, por lo que normalmente se reserva para intervalos cortos y específicos de resolución de problemas.
La captura activada (basada en eventos) comienza a grabar únicamente cuando se cumple una condición —una coincidencia con una firma de detección de intrusiones, una regla de política o una anomalía— y captura una ventana delimitada de paquetes inmediatamente antes y después del evento desencadenante. Este es el patrón más habitual en entornos de producción, ya que proporciona detalles forenses sin capturar tráfico que nadie va a revisar.
La captura filtrada limita lo que se registra mediante criterios de coincidencia, como la dirección de origen o destino, el puerto, el protocolo o la aplicación, de modo que solo se guarda en el disco el tráfico relevante para el asunto en cuestión.
La captura de solo encabezados frente a la de carga útil completa ofrece ventajas en cuanto al volumen: los encabezados por sí solos bastan para analizar la sincronización y las retransmisiones a una fracción del coste de almacenamiento que suponen las cargas útiles completas, que solo son necesarias cuando se investiga el contenido en sí.
Captura de paquetes y Versa
Versa Implementa la captura de paquetes como una función de diagnóstico de los motores de políticas de NGFW, IDP y supervisión del tráfico, configurada a través de la funcionalidad «Apply Log Export». En el caso de IDP, una regla de perfil de vulnerabilidad permite la captura con una ventana previa y una ventana posterior configurables: los paquetes capturados inmediatamente antes y después del paquete que coincidió con una firma de ataque (véase «Configurar la detección y prevención de intrusiones»). En el caso del NGFW, la captura se habilita por cada regla de política de acceso, con un límite de paquetes predeterminado (20 000, ajustable entre 1 000 y 50 000) y un tiempo de espera (600 segundos) establecidos en «Control de registro». Las reglas de política de supervisión del tráfico también pueden enviar datos de captura de paquetes para flujos seleccionados.
En todos los casos, los paquetes capturados se exportan al colector activo en el perfil de la funcionalidad de exportación de registros (LEF) asociado y llegan a un nodo de Analytics, ya que la captura de paquetes consume muchos recursos tanto en VOS como en Analytics y solo se recomienda con fines de diagnóstico. Desde la interfaz gráfica de usuario de Analytics, los administradores pueden consultar la tabla de registros de captura de paquetes y descargar cada entrada en formato pcap —que se puede abrir directamente en Wireshark— o como texto sin formato.
Preguntas frecuentes
¿Qué significa PCAP?
PCAP son las siglas de «captura de paquetes». Esta misma abreviatura también da nombre al formato de archivo pcap que utilizan la mayoría de las herramientas de captura para almacenar el tráfico registrado, por lo que el término se refiere tanto a la actividad como al archivo resultante.
¿Cuál es la diferencia entre la captura de paquetes y NetFlow?
NetFlow y otros protocolos de flujo similares registran estadísticas resumidas sobre cada sesión —origen, destino, recuento de bytes, duración— sin incluir el contenido de los paquetes. La captura de paquetes registra los paquetes reales, incluidas las cargas útiles, lo que proporciona mucha más información, aunque con un coste de almacenamiento y procesamiento mucho mayor.
¿La captura de paquetes es lo mismo que la inspección profunda de paquetes?
No. La inspección profunda de paquetes (DPI) examina el contenido de los paquetes en tiempo real para clasificar el tráfico o aplicar políticas, y a continuación descarta el paquete. La captura de paquetes guarda los paquetes en un archivo para su análisis posterior; un motor DPI puede activar una captura, pero se trata de dos funciones distintas.
¿Qué herramienta utilizas para abrir un archivo pcap?
Un analizador de protocolos como Wireshark es la herramienta estándar para abrir y descodificar archivos pcap o pcapng, lo que permite al analista filtrar, seguir sesiones e inspeccionar encabezados y cargas útiles. Las herramientas de línea de comandos como tcpdump y tshark también pueden leer archivos pcap.
¿Afecta la captura de paquetes al rendimiento de la red?
Sí. La captura y exportación de paquetes consume recursos de CPU y almacenamiento tanto en el dispositivo de captura como en el colector que recibe los datos, por lo que en la mayoría de las implementaciones se habilita de forma selectiva —en torno a un incidente de seguridad o a un intervalo de tiempo definido para la resolución de problemas— en lugar de de forma continua en el entorno de producción.
Más información sobre la captura de paquetes
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| IETF: Formato de archivo de captura PCAP | NIST: Captura de paquetes (PCAP) |
|---|---|
| La especificación de la IETF que describe el formato de archivo pcap utilizado por libpcap y prácticamente todas las herramientas de captura y análisis de paquetes. | Entrada del glosario del NIST sobre la «captura de paquetes», con referencias a las publicaciones de orientación en materia de seguridad que definen y utilizan dicho término. |
Términos relacionados
Si estás leyendo sobre la captura de paquetes, te conviene echar un vistazo a lo siguiente.
| Nodo de análisis | Control de acceso basado en roles | Red de área amplia |
|---|---|---|
| La «personalidad» del clúster de análisis de « Versa » que almacena capturas de paquetes y otros registros, y permite su visualización y descarga. | El modelo de control de acceso —incluidas las etiquetas de recursos— que determina qué usuarios y inquilinos pueden ver o descargar capturas de paquetes en Analytics. | Las interfaces de transporte externas de un dispositivo VOS; las capturas de paquetes registran qué interfaz WAN de entrada o salida gestionó cada paquete capturado. |