Obejmuje dane ładunku i protokołu oraz obserwowalne punkty końcowe, porty, czas, rozmiar, kierunek i traktowanie. Jego dokładne znaczenie zależy od warstwy i punktu obserwacji, o którym mowa.
Ruch może być obserwowany przez przechwytywanie pakietów, rekordy przepływów, liczniki interfejsów, logi protokołów lub celowe czujniki. Pakiety zachowują więcej szczegółów; przepływy podsumowują pakiety dzielące zdefiniowane właściwości; liczniki agregują jeszcze dalej. Te obserwacje mogą stać się telemetrią bezpieczeństwa, gdy są zbierane i używane jako dowody dla detekcji, dochodzenia, zapewnienia lub reagowania; retencja i wzbogacanie zależą od przypadku użycia.
Najważniejsze punkty
Użycie operacyjneObserwacje ruchu wspierają planowanie pojemności, rozwiązywanie problemów, weryfikację polityk, dochodzenie incydentów i wykrywanie zachowania odbiegającego od bazy.
Projekt zbieraniaUmieszczaj punkty obserwacji według pytania, na które odpowiadasz, synchronizuj czas, dokumentuj filtrowanie i próbkowanie, chroń kolektory i waliduj, że oczekiwany ruch może do nich dotrzeć.
Prywatność i zarządzanieTreść i metadane sieciowe mogą ujawniać komunikację, relacje, lokalizacje i zachowanie użytkowników. Ustal podstawę, cel, powiadomienie tam, gdzie stosowne, kontrole dostępu, minimalizację, retencję i bezpieczne usuwanie przed monitorowaniem.
Istotne ograniczenieŻaden punkt obserwacji nie daje pełnej prawdy. Szyfrowanie ogranicza widoczność treści; tunelowanie, routing asymetryczny, segmentacja, próbkowanie, przeciążenie czujnika i utrata pakietów tworzą luki. Nietypowy ruch to trop dla analizy, a nie dowód złośliwej aktywności.