Include încărcătura și datele de protocol, plus endpointurile observabile, porturile, timpul, dimensiunea, direcția și tratarea. Semnificația sa exactă depinde de stratul și punctul de observație discutat.
Traficul poate fi observat prin capturi de pachete, înregistrări de flux, contoare de interfață, jurnale de protocol sau senzori construiți special. Pachetele păstrează mai multe detalii; fluxurile rezumă pachete care împart proprietăți definite; contoarele agregă și mai mult. Aceste observații pot deveni telemetrie de securitate când sunt colectate și folosite ca dovezi pentru detecție, investigație, asigurare sau răspuns; retenția și îmbogățirea depind de cazul de utilizare.
Puncte esențiale
Utilizare operaționalăObservațiile de trafic susțin planificarea capacității, depanarea, verificarea politicilor, investigarea incidentelor și detecția comportamentului care diferă de un baselin.
Designul colecțieiPlasați punctele de observație în funcție de întrebarea la care se răspunde, sincronizați timpul, documentați filtrarea și eșantionarea, protejați colectorii și validați că traficul așteptat poate ajunge la ei.
Confidențialitate și guvernanțăConținutul și metadatele de rețea pot revela comunicații, relații, locații și comportamentul utilizatorului. Stabiliți autoritatea, scopul, notificarea acolo unde este cazul, controalele de acces, minimizarea, retenția și eliminarea securizată înainte de monitorizare.
Limitare importantăNiciun punct de observație nu furnizează adevărul complet. Criptarea limitează vizibilitatea conținutului; tunelarea, rutarea asimetrică, segmentarea, eșantionarea, supraîncărcarea senzorilor și pierderea de pachete creează lacune. Traficul neobișnuit este o pistă pentru analiză, nu dovada unei activități malițioase.