NetFlow

Cisco protokol za eksport metapodataka o saobraćaju (5-tuple flow-ovi). Standardizovan kao IPFIX (RFC 7011).

protokoli

NetFlow je Cisco-razvijena tehnologija za eksport metapodataka o IP saobraćaju sa rutera/switcheva ka kolektoru. Umesto da kopira sve pakete (kao port mirror), NetFlow agreguje saobraćaj u flow-ove definisane sa 5-tuple-om: source IP, dest IP, source port, dest port, protokol.

Verzije:

NetFlow v5 — fiksni format, najrasprostranjeniji
NetFlow v9 — template-based, fleksibilan
IPFIX (RFC 7011) — IETF standardizacija NetFlow v9, vendor-neutralni
sFlow — alternativna tehnologija (sample-based, manje precizna ali manje CPU)

Šta vidi NetFlow kolektor:

Top talkers (ko troši najviše propusnog opsega)
Saobraćaj po protokolu (HTTPS vs SSH vs torrent)
Geo-distribucija
Anomalije (DDoS, malware C&C)

Tipični kolektori: ntopng, ElastiFlow, Manage Engine, SolarWinds NTA. NetFlow eksport ide UDP-om na proizvoljan port (tipično 2055 ili 9995).