A hasznos terhet és a protokolladatokat, valamint a megfigyelhető végpontokat, portokat, időzítést, méretet, irányt és kezelést foglalja magában. Pontos jelentése a tárgyalt rétegtől és megfigyelési ponttól függ.
A forgalom csomagrögzítéssel, flow-rekordokkal, interfész-számlálókkal, protokollnaplókkal vagy célra épített szenzorokkal figyelhető meg. A csomagok a legtöbb részletet őrzik meg; a flow-k a definiált tulajdonságokat osztó csomagokat összegzik; a számlálók még tovább aggregálnak. Ezek a megfigyelések biztonsági telemetriává válhatnak, amikor észlelési, vizsgálati, biztosítéki vagy reagálási bizonyítékként gyűjtik és használják őket; a megőrzés és a gazdagítás a felhasználási esettől függ.
Legfontosabb pontok
Üzemeltetési használatA forgalom-megfigyelések támogatják a kapacitástervezést, a hibaelhárítást, a szabályzat-ellenőrzést, az incidensvizsgálatot és az alapvonaltól eltérő viselkedés észlelésát.
Gyűjtési kialakításA megfigyelési pontokat a megválaszolandó kérdés szerint kell elhelyezni, az időt szinkronizálni, a szűrést és a mintavételt dokumentálni, a gyűjtőket védeni, és érvényesíteni, hogy a várt forgalom eljut hozzájuk.
Adatvédelem és irányításA hálózati tartalom és metaadatok kommunikációt, kapcsolatokat, helyeket és felhasználói viselkedést fedhetnek fel. A monitoring előtt jogalapot, célt, adott esetben tájékoztatást, hozzáférés-vezérlést, minimalizálást, megőrzést és biztonságos megsemmisítést kell megállapítani.
Fontos korlátEgyetlen megfigyelési pont sem ad teljes igazságot. A titkosítás korlátozza a tartalom láthatóságát; a bújtatás, az aszimmetrikus útválasztás, a szegmentáció, a mintavétel, a szenzor-túlterhelés és a csomagvesztés réseket hoz létre. A szokatlan forgalom elemzési vezérfonal, nem a rosszindulatú tevékenység bizonyítéka.