Secure Network Analytics(Stealthwatch): NetFlow内のレコードについて

[Akihiro Sumida]

• はじめに
• 前提条件
• Flow Collector が受信しているNetFlowを確認
• NetFlow フォーマットについて

はじめに

本ドキュメントでは Secure Network Analytics (SNA / 旧Stealthwatch) で収集されているNetFlowについて説明します。NetFlow を送信するエクスポーターとして CSR1000v、SNA はバージョン 7.3.0 を利用して説明していますので、利用されているNetFlowを生成している機種やバージョンなどによって異なる場合があります。

前提条件

Secure Network Analytics Flow Collector (FC) ではネットワーク上のトラフィックをモニターした結果を NetFlow として送信するエクスポータが必要となります。以下の図ではサーバ、クライアント間にあるルータにてトラフィックをモニターし、ルータから FC にフローデータが NetFlow が送信されます。

Flow Collector が受信しているNetFlowを確認

1. Flow Collectorにログイン

2. サイドメニューの Support -> Packet Capture を選択

3. キャプチャするパケットのポート番号を NetFlow で利用する 2055 を指定し、Start ボタンを押下

　 キャプチャが終了すると同画面下部の Captures のリンクをクリッk

NetFlow フォーマットについて

前項で取得したパケットキャプチャを Wireshark で開くと以下のようにフローデータ (例：Flow1) が参照できます。

各プロパティに関してはエクスポータ側で NetFlow で送信する項目を設定する必要があります。また NetFlow で送信できる情報 (フォーマット) は利用する NetFlow のバージョンによって異なります。以下のページでは NetFlow version 9 のフォーマットについて解説されています。

NetFlow Version 9 Flow-Record Format：

https://www.cisco.com/en/US/technologies/tk648/tk362/technologies_white_paper09186a00800a3db9.html