Zahŕňa payload a protokolové údaje plus pozorovateľné koncové body, porty, časovanie, veľkosť, smer a spracovanie. Jej presný význam závisí od vrstvy a bodu pozorovania, o ktorom sa diskutuje.
Prevádzka môže byť pozorovaná cez zachytenie paketov, flow záznamy, počitadlá rozhraní, protokolové logy alebo účelovo postavené senzory. Pakety zachovávajú viac detailu; flows sumarizujú pakety zdieľajúce definované vlastnosti; počitadlá agregujú ešte viac. Tieto pozorovania sa môžu stať bezpečnostnou telemetriou, keď sú zbierané a používané ako dôkazy pre detekciu, vyšetrovanie, istotu alebo reakciu; retencia a obohacovanie závisia od prípadu použitia.
Kľúčové body
Operačné použitiePozorovania prevádzky podporujú plánovanie kapacity, riešenie problémov, verifikáciu politiky, vyšetrovanie incidentov a detekciu správania odlišného od baseline.
Návrh zberuUmiestniť body pozorovania podľa zodpovedanej otázky, synchronizovať čas, zdokumentovať filtrovanie a vzorkovanie, chrániť kolektory a validovať, že očakávaná prevádzka k nim môže dosiahnuť.
Súkromie a riadenieSieťový obsah a metadáta môžu odhaliť komunikácie, vzťahy, lokality a správanie používateľov. Pred monitorovaním vytvoriť autoritu, účel, notifikáciu tam, kde sa hodí, kontroly prístupu, minimalizáciu, retenciu a bezpečnú likvidáciu.
Dôležité obmedzenieŽiadny bod pozorovania neposkytuje kompletnú pravdu. Šifrovanie obmedzuje viditeľnosť obsahu; tunelovanie, asymetrické smerovanie, segmentácia, vzorkovanie, preťaženie senzora a strata paketov vytvárajú medzery. Nezvyčajná prevádzka je vodítko pre analýzu, nie dôkaz škodlivej aktivity.