Zahrnuje payload a protokolová data plus pozorovatelné koncová zařízení, porty, časování, velikost, směr a zacházení. Jeho přesný význam závisí na vrstvě a pozorovacím bodu, o kterém se hovoří.
Provoz lze pozorovat prostřednictvím packet capture, flow záznamů, čítačů rozhraní, protokolových logů nebo účelových senzorů. Pakety uchovávají více detailů; flows shrnují pakety sdílející definované vlastnosti; čítače agregují ještě dále. Tato pozorování se mohou stát bezpečnostní telemetrií, když jsou sbírána a používána jako důkaz pro detekci, vyšetřování, assurance nebo reakci; uchovávání a obohacování závisí na případu použití.
Klíčové body
Provozní použitíPozorování provozu podporují plánování kapacity, řešení potíží, ověřování politik, vyšetřování incidentů a detekci chování odchylného od baseline.
Návrh sběruUmístěte pozorovací body podle zodpovězené otázky, synchronizujte čas, dokumentujte filtrování a vzorkování, chraňte kolektory a validujte, že k nim očekávaný provoz může dosáhnout.
Soukromí a řízeníObsah a metadata sítě mohou odhalit komunikace, vztahy, lokality a chování uživatelů. Před monitorováním ustanovte oprávnění, účel, informování kde je to aplikovatelné, řízení přístupu, minimalizaci, uchovávání a bezpečnou likvidaci.
Důležité omezeníŽádný pozorovací bod neposkytuje úplnou pravdu. Šifrování omezuje viditelnost obsahu; tunneling, asymetrické směrování, segmentace, vzorkování, přetížení senzoru a ztráta paketů vytvářejí mezery. Neobvyklý provoz je vodítko pro analýzu, nikoli důkaz škodlivé aktivity.