NetFlow Nedir?

Bir yönlendirici üzerinden saniyede milyonlarca paket geçer. Hepsini saklamak ne mümkündür ne de gereklidir. Akış kaydı, bu paketleri ortak özelliklerine göre gruplayıp her grup için tek bir özet satırı üretir.

Grubu tanımlayan alanlar genellikle beşlidir: kaynak adres, hedef adres, kaynak port, hedef port ve protokol. Aynı beşliyi paylaşan paketler tek bir akış sayılır.

Kayıtta Ne Bulunur

Özet satırı, bağlantının kimliğini ve büyüklüğünü taşır: akış ne zaman başladı, ne zaman bitti, kaç paket ve kaç bayt taşındı, hangi arayüzden girip hangisinden çıktı, TCP bayrakları neydi.

İçerik yoktur. Hangi sayfanın açıldığı, hangi dosyanın indirildiği ya da isteğin gövdesinde ne olduğu bu kayıttan okunmaz.

Neye Yarar

Akış kaydının değeri kapsamındadır. Paket yakalamanın aksine sürekli açık tutulabilir, çünkü ürettiği veri hacmi trafiğin küçük bir kesridir. Bu, geçmişe dönük soru sormayı mümkün kılar.

• Kapasite planlaması. Hangi hatlar ne zaman doluyor, hangi uygulamalar bant genişliğini tüketiyor.
• Olay incelemesi. Bir makinenin belirli bir zaman aralığında kiminle konuştuğu, olaydan sonra sorulabilir.
• Anomali tespiti. Temel ölçüler çıkarıldıktan sonra sapmalar ölçülebilir hale gelir.
• Yanal hareket izi. İç trafiğin görünür olduğu en ucuz kaynaktır.

Sınırları

İki sınır sık unutulur.

Birincisi örneklemedir. Yüksek hızlı arayüzlerde cihaz her paketi işlemez, belirli bir oranda örnek alır. Kısa süreli patlamalar bu durumda eksik görünür.

İkincisi zamanlamadır. Akış kaydı, bağlantı bittikten ya da zaman aşımına uğradıktan sonra dışa aktarılır. Uzun süren bir bağlantı, kaydı düşene kadar raporda görünmez. Gerçek zamanlı alarm için tek başına yeterli değildir.