NetFlow ve IPFIX, ağ üzerindeki iletişimi tam içerik yerine özet meta veri olarak kaydeden akış protokolleridir. Bir akış kaydı; kaynak adres, hedef adres, bağlantı noktaları, protokol, aktarılan paket ve bayt sayısı gibi bilgileri içerir. Bu özet, iletişimin içeriğini göstermese de kim kiminle, ne zaman ve ne hacimde konuştuğu sorusunu yanıtlar. Bu bilgi hem ağ yönetimi hem de güvenlik izlemesi için son derece değerlidir. Meta veriye dayandığı için depolama ve işlem maliyeti, tam paket kaydına kıyasla çok daha düşüktür.

İki protokol arasındaki ilişki, standartlaşma süreciyle açıklanabilir. NetFlow, bir ağ ekipmanı üreticisi tarafından geliştirilmiş ve yaygınlaşmış bir teknolojidir. IPFIX ise bu yaklaşımın standart hâle getirilmiş ve üreticiden bağımsız sürümüdür. İkisi de aynı temel fikri paylaşır: trafiği akışlar hâlinde özetleyip bir toplayıcıya göndermek. IPFIX, esnek alan tanımları sayesinde daha zengin veri taşıyabildiği için modern ortamlarda tercih edilir.

NetFlow ve IPFIX Nedir?

NetFlow ve IPFIX, ağ iletişimini kaynak, hedef, hacim ve zaman gibi meta verilerle özetleyerek trafik görünürlüğü sağlayan akış kaydı protokolleridir.

Akış kayıtları, ağ ekipmanları üzerinde üretilir ve merkezî bir toplayıcıya gönderilir. Yönlendirici ya da anahtar, üzerinden geçen trafiği akışlara göre gruplar ve her akış için bir özet kaydı oluşturur. Bu kayıtlar toplayıcıda saklanır ve analiz araçlarıyla incelenir. Böylece tüm ağın iletişim deseni, tek bir noktadan görünür hâle gelir. Bu merkezî görünürlük, hem sorun giderme hem de güvenlik analizi için ortak bir temel sağlar.

Güvenlikte Nasıl Kullanılır?

Akış kayıtları, güvenlik açısından özellikle geniş kapsamlı görünürlük sunması nedeniyle değerlidir. Ağın her köşesinden gelen özet veri, uç noktada görünmeyen iletişimleri bile ortaya koyabilir. Ağ trafiği analizi çoğunlukla bu akış kayıtlarını temel veri kaynağı olarak kullanır. Olağandışı hacimli aktarımlar, beklenmedik hedeflere giden bağlantılar ve düzenli desenli iletişimler bu veriyle tespit edilir. Bu tespitler, uç nokta verisiyle birleştirildiğinde olayın bütünü görünür hâle gelir.

Özellikle veri sızdırma ve komuta kontrol iletişimi, akış analiziyle etkili biçimde yakalanabilir. Büyük hacimli dış aktarımlar, veri sızdırma girişiminin tipik bir belirtisidir ve hacim analiziyle işaretlenir. Düzenli aralıklarla dış sunucuya kurulan bağlantılar ise komuta kontrol deseni olarak fark edilebilir. Şifreli trafikte içerik okunamasa bile, akış kayıtları meta veriye dayandığı için görünürlüğünü korur. Bu özellik, akış analizini şifreleme çağında daha da değerli kılar.

• Kim kiminle, ne zaman ve ne hacimde konuştuğu görünürlüğü
• Şifreli trafikte bile meta veriye dayalı analiz imkânı
• Büyük hacimli dış aktarımların sızdırma belirtisi olarak tespiti
• Düzenli desenli bağlantıların komuta kontrol işareti olarak yakalanması
• Tam paket kaydına göre çok daha düşük depolama maliyeti

Örnekleme ve Doğruluk

Yüksek hızlı ağlarda her akışı kaydetmek yük oluşturabileceği için örnekleme kullanılabilir. Örneklemede, trafiğin tamamı yerine belirli bir oranı kayda alınır ve genel desen bu örnekten çıkarılır. Bu yöntem kaynak tüketimini azaltır ancak düşük hacimli ama önemli olayların kaçırılması riskini taşır. Güvenlik amaçlı izlemede, mümkün olduğunca tam kayıt ya da yüksek örnekleme oranı tercih edilir. Örnekleme oranının etkileri, analiz sonuçları yorumlanırken mutlaka göz önünde bulundurulmalıdır.

Akış kayıtlarının doğru zaman bilgisiyle üretilmesi de analiz kalitesini belirler. Farklı ekipmanların saatleri uyumlu değilse, olayların sıralanması ve birleştirilmesi hatalı olur. Bu nedenle akış üreten tüm cihazların zaman senkronizasyonu sağlanmalıdır. Zaman senkronizasyonu bu bağlamda akış analizinin ön koşuludur. Saatleri kayan bir ortamda üretilen akış kayıtları, güçlü bir veri kaynağını güvenilmez hâle getirebilir.

Tam Paket Kaydıyla İlişkisi

Akış kayıtları ile tam paket kaydı, birbirinin alternatifi değil tamamlayıcısıdır. Akış kayıtları geniş kapsama ve düşük maliyet sunarken, iletişimin içeriğini göstermez. Paket yakalama ise içeriği verir ama yüksek depolama maliyeti nedeniyle her yerde uygulanamaz. Yaygın yaklaşım, tüm ağda akış kaydı tutmak ve yalnızca kritik noktalarda tam paket kaydına başvurmaktır. Böylece akış kayıtları bir olayı işaret eder, tam kayıt ise o olayın ayrıntısını ortaya koyar.

Bu katmanlı yaklaşım, hem maliyeti hem de görünürlüğü dengeleyen bir tasarım sunar. Akış kayıtları sürekli ve geniş bir taban görünürlük sağlarken, ayrıntı gereken durumlarda derinlemesine inceleme mümkün olur. Bir güvenlik olayında önce akış kayıtları incelenerek olayın kapsamı belirlenir. Ardından ilgili noktalardaki tam kayıtlarla ayrıntıya inilir. Bu iş akışı, sınırlı depolama kaynaklarını en verimli biçimde kullanmayı sağlar.

Uygulamada Dikkat Edilecekler

Akış verisinin değeri, ancak doğru saklama ve analiz altyapısıyla ortaya çıkar. Ham akış kayıtları tek başına anlam ifade etmez; korelasyon ve görselleştirme araçlarıyla işlenmeleri gerekir. Bu kayıtlar, güvenlik bilgi ve olay yönetimi platformuna aktarılarak diğer verilerle birleştirildiğinde en yüksek değeri üretir. Saklama süresi de olay incelemesi ihtiyacına göre belirlenmelidir. Çok kısa saklama, geçmiş bir olayın incelenmesini imkânsız kılabilir.

Akış üreten cihazların kapsamı da görünürlüğü doğrudan belirler. Yalnızca sınır cihazlarında akış üretmek, iç ağdaki yanal hareketi görünmez bırakabilir. Bu nedenle iç ağ segmentlerini de kapsayan bir tasarım tercih edilir. Kapsam boşlukları, düzenli olarak gözden geçirilmeli ve kapatılmalıdır. Eksik kapsanan bir ağ, saldırganın fark edilmeden hareket edebileceği kör noktalar bırakır.

Privia Security olarak ağ görünürlüğü altyapısının kurulmasını ve akış verisinin tehdit tespitinde etkin kullanılmasını SOC olgunlaştırma kapsamında değerlendiriyoruz.