NetFlow analizinde anomali, ağ cihazlarının ürettiği akış özetlerinde beklenen desenlerden belirgin biçimde sapan davranışların saptanmasıdır. NetFlow, paketlerin içeriğini değil; kim kiminle, hangi port üzerinden, ne kadar süre ve ne hacimde konuştu bilgisini kaydeden bir üst veri akışıdır. Anomali tespiti bu özetler üzerinde çalışır ve içeriği görmeden dahi şüpheli bir bağlantının izini yakalayabilir.

NetFlow anomalisi, konuşmanın ne söylendiğini değil, kimin kiminle ne zaman ve ne kadar konuştuğunu izleyerek yakalanan bir sapmadır.

Akış Verisi Neyi Taşır?

Bir NetFlow kaydı tipik olarak kaynak ve hedef IP adresini, port numaralarını, protokolü, bayt ve paket sayısını, başlangıç ve bitiş zamanını içerir. Bu alanlar tek tek önemsiz görünse de bir araya geldiklerinde ağın davranış imzasını oluşturur. İçerik şifreli olsa bile bu üst veri açıkta kaldığından, NetFlow analizi tam paket kaydına göre çok daha ölçeklenebilir ve uzun süre saklanabilir bir görünürlük sunar.

Anomalinin anlam kazanması için önce normalin tanımlanması gerekir. Sistem, bir sunucunun kiminle konuştuğunu, gün içindeki hacim eğrisini ve kullanılan portları öğrenerek bir taban çizgisi kurar; anomali, bu taban çizgisinden istatistiksel olarak sapan her akıştır.

Hangi Sapmalar Neyi Anlatır?

Bazı anomali biçimleri belirli saldırgan davranışlarıyla güçlü biçimde ilişkilidir:

• Bir iç sunucudan dışarıya alışılmadık büyüklükte ve düzenli aralıklı çıkış trafiği: veri sızdırma ya da komuta-kontrol iletişiminin işareti olabilir.
• Tek bir kaynağın kısa sürede çok sayıda farklı iç adrese kısa bağlantılar kurması: ağ içi keşif ve tarama davranışıdır.
• Daha önce hiç konuşmamış iki iç uç arasında ansızın başlayan trafik: yanal hareketin klasik göstergesidir.
• Sabit periyotta tekrar eden küçük paketler (beaconing): otomatik bir zararlının merkeze düzenli sinyal göndermesidir.

Bu desenler tek başına kesin kanıt değil, birer şüphe işaretidir; her birinin meşru bir açıklaması da olabilir. Anomaliyi değerli kılan, onu bağlamla birleştiren analistin yorumudur.

Diğer Görünürlük Katmanlarıyla İlişkisi

NetFlow bir sapmayı gösterdiğinde, çoğu zaman “ne oldu?” sorusunun yanıtı akış özetinde değil, o bağlantının içeriğindedir. Bu noktada NetFlow’un işaret ettiği zaman ve uç noktalar, ağ adli analizi için hedefi daraltır; analist tüm trafiği değil, yalnızca şüpheli akışın penceresini derinlemesine inceler. NetFlow, geniş ama sığ görüşü verirken adli analiz dar ama derin görüşü sağlar.

Akış anomalileri, henüz bir uyarı üretmemiş tehditleri proaktif olarak aramak için de kullanılır. Bir analist, bilinen komuta-kontrol desenlerine benzeyen beacon davranışlarını NetFlow üzerinde tarayarak tehdit avcılığı yürütebilir; bu, imza beklemek yerine hipotezle iz sürmektir.

SOC Sürecindeki Yeri

NetFlow anomalileri tek başına bir gürültü kaynağı olmaktan çıkıp değer üretmesi için merkezî bir korelasyon katmanına beslenmelidir. Akış tabanlı bir uyarı, uç nokta ve kimlik günlükleriyle bir SIEM içinde birleştirildiğinde, tek başına belirsiz bir sapma, doğrulanmış bir olaya dönüşür. Privia Security, akış görünürlüğünü ve anomali tespitini olgun bir izleme sürecinin parçası haline getirmek için SOC olgunlaştırma hizmeti sunar.