基于Logrhythm Netmon的IP流解释

Question

我们有一个Logrhythm网络监控解决方案，它依赖于端口镜像，使用交换机上的span端口接收所有流量并对其进行分析。但我无法理解输出。

例如，如果我监视用户A对YouTube的使用情况，用户A打开YouTube 30分钟，当我过滤用户A和应用程序YouTube时，我看到大约20个流，每个流的持续时间都小于5分钟，因此我无法从输出中计算出在YouTube上花费的总分钟数。

我需要知道流的定义，以及为什么20个流只出现在一个会话中。另外，对于每个流，我看到一个标志，它指示流是否已完成，因此我看到10个流已完成，而其他流未完成。完成或不完成流程的含义是什么？

Answer 1

HTTP客户端通常使用多个套接字连接(=flows)获取完整的HTML页面。Youtube也可能会为视频做一些复杂的缓冲。它不是实时流，而是在播放时在后台获取块--您可以在浏览器的网络检查器中查看。取决于流量采样，它可能看起来相当奇怪的开关。细节在很大程度上取决于应用程序，在这里我担心这是一个不讨论的话题。

如果您需要更好地控制/监视您的用户在Internet上所做的事情，您应该在防火墙上运行分析。下一代防火墙可以通过非常细粒度的策略提供相当精确的控制。