NetFlow
NetFlow とは何ですか?
NetFlowCisco 発のフローレコードプロトコル、および後継の sFlow・IPFIX。ネットワーク機器を通過する各会話の要約メタデータを外部にエクスポートする。
NetFlow は単方向または双方向の会話を 5 タプル(送信元/宛先 IP・ポート、プロトコル)で表し、バイト数・パケット数・タイムスタンプ・インターフェース番号・任意フィールドを付与します。ルーターやスイッチがフローレコードをコレクタへエクスポートし、保存・分析されます。マルチギガビット環境までスケールし、フル PCAP よりはるかに小さいコストで長期可視性を得られるため広く採用されています。代表的な実装は Cisco NetFlow v5/v9、サンプリング型の sFlow(InMon)、IETF RFC 7011 のベンダ中立な IPFIX です。防御側はベースライン化、ビーコン検知、DDoS のトリアージ、データ持ち出しの発見、フォレンジックのタイムライン再構築に利用します。
● 例
- 01
ある端末が 5 分おきに同一外部 IP へ小さなフローを規則的に送るビーコン型 C2 を検出する。
- 02
持ち出しが疑われる時間帯にクラウドストレージ宛 IP への送信バイト量を集計する。
● よくある質問
NetFlow とは何ですか?
Cisco 発のフローレコードプロトコル、および後継の sFlow・IPFIX。ネットワーク機器を通過する各会話の要約メタデータを外部にエクスポートする。 サイバーセキュリティの 防御と運用 カテゴリに属します。
NetFlow とはどういう意味ですか?
Cisco 発のフローレコードプロトコル、および後継の sFlow・IPFIX。ネットワーク機器を通過する各会話の要約メタデータを外部にエクスポートする。
NetFlow からどのように防御しますか?
NetFlow に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
NetFlow の別名は何ですか?
一般的な別名: IPFIX, sFlow, フローレコード。