NETFLOW-профили служат для доставки статистических данных на NetFlow-коллекторы, обычно на на NetFlow-коллекторы SIEM-систем.
NetFlow-коллекторы могут получать статистические данные и по срезам активных TCP-сессий от сетевого оборудования, и это - часто используемый подход. Но есть известная проблема: чем меньше временной интервал получения таких срезов, тем большие затраты ресурсов потребуются от сетевого оборудования – это не полезно для его основной функции. Кроме того, уменьшение интервала получения срезов повышает затраты ресурсов на стороне самого NetFlow-коллектора для сборки полученных данных.
EtherSensor для извлечения объекта из TCP-сессии в любом случае должен её реконструировать, и после этого у него есть все необходимые данные о самой TCP-сессии. В этот момент он вполне может передать данные о сессии на NetFlow-коллектор, назначенный в NETFLOW-профиле.
Рис.54. Настройки NETFLOW-профилей.
1. Название и статус
Название профиля:
Удобное, запоминающееся и информативное название профиля (на усмотрение администратора).
Активен:
Транспортный профиль не используется в передаче сообщений, если он отключен.
Профиль используется по умолчанию:
"Да" означает, что данный профиль транспортировки результатов используется по умолчанию.
Комментарий:
Описание транспортного профиля.
2. Настройки NETFLOW
Адрес NETFLOW-сервера:
IP-адрес или имя NETFLOW-сервера для доставки результатов.
Порт:
Порт NETFLOW-сервера для отправки сообщений.
TCP:
Позволяет использовать TCP-протокол для отправки сообщений на NETFLOW-сервер. Необходимо, если используется SSL-шифрование при передаче сообщений системе-потребителю.
SSL:
Включить/выключить использование SSL-шифрования при передаче сообщений.
Держать соединение:
Отправлять все сообщения в одном соединении с сервером. Если данный параметр выключен, то каждое отправляемое сообщение будет отправлено в отдельном TCP-соединении.
3. Формат сообщения
Канал:
Имя IPC-канала, который будет использоваться как источник сообщений для NETFLOW-сервера.
Версия:
Версия протокола NETFLOW.
4. Обработка ошибок
Таймаут после отказа:
Таймаут в секундах для повторной попытки доставки сообщений в случае отказа приёмника.
5. Для GROUP-профилей
Вес:
Вес профиля (от 1 до 10) задаёт пропорцию распределения сообщений между профилями и используется только если данный профиль включен в GROUP-профиль.
Резервный профиль:
Включить или выключить использование профиля как резервного. Если этот флаг включён, то доставка сообщений с использованием данного профиля будет задействована в случае отказа основных (не резервных) транспортных профилей. Параметр действителен только в составе GROUP-профилей.