Er umfasst Nutz- und Protokolldaten sowie beobachtbare Endpunkte, Ports, Timing, Größe, Richtung und Behandlung. Seine genaue Bedeutung hängt von der Schicht und dem Beobachtungspunkt ab, über die gesprochen wird.
Verkehr kann über Paketmitschnitte, Flow-Datensätze, Schnittstellen-Zähler, Protokoll-Logs oder Zwecksensoren beobachtet werden. Pakete bewahren mehr Detail; Flows fassen Pakete mit gemeinsamen definierten Eigenschaften zusammen; Zähler aggregieren noch weiter. Diese Beobachtungen können zu Security Telemetry werden, wenn sie als Beweise für Erkennung, Untersuchung, Zusicherung oder Reaktion gesammelt und genutzt werden; Aufbewahrung und Anreicherung hängen vom Anwendungsfall ab.
Wichtigste Punkte
Operative NutzungVerkehrsbeobachtungen unterstützen Kapazitätsplanung, Fehlersuche, Richtlinienverifikation, Vorfallsuntersuchung und die Erkennung von Verhalten, das von einer Baseline abweicht.
ErfassungsdesignBeobachtungspunkte nach der gestellten Frage platzieren, Zeit synchronisieren, Filterung und Sampling dokumentieren, Kollektoren schützen und validieren, dass erwarteter Verkehr sie erreichen kann.
Datenschutz und GovernanceNetzwerkinhalte und -metadaten können Kommunikation, Beziehungen, Standorte und Benutzerverhalten offenbaren. Autorität, Zweck, ggf. Information, Zugriffskontrollen, Minimierung, Aufbewahrung und sichere Löschung vor dem Monitoring festlegen.
Wichtige EinschränkungKein Beobachtungspunkt liefert vollständige Wahrheit. Verschlüsselung begrenzt Inhaltssichtbarkeit; Tunneling, asymmetrisches Routing, Segmentierung, Sampling, Sensorüberlastung und Paketverlust erzeugen Lücken. Ungewöhnlicher Verkehr ist ein Hinweis für die Analyse, kein Beweis böswilliger Aktivität.