Resumen
- Definir interfaz, protocolo, ventana y pregunta del incidente antes de recoger tráfico.
- Limitar acceso a contenido, preservar integridad y borrar al cerrar la investigación.
Microsoft Network Monitor pertenece a otra generación, pero la lección operativa sigue vigente. Una traza puede revelar credenciales, contenido personal y sesiones ajenas y aun perder otro camino. Hay que obtener autorización, sincronizar relojes, capturar el alcance mínimo y registrar filtros y hashes. La siguiente evidencia es un hallazgo reproducible que vincule paquetes con un síntoma y pueda revisarse sin abrir todo el conjunto. La observabilidad sirve cuando responde una pregunta, no cuando se vuelve vigilancia permanente.
