7/24 NOC Hizmetinde NetFlow: Ağ Trafiği Nasıl Analiz Edilir?
Saat 02.07. Şirketinizin internet hattındaki trafik kapasitenin %95’ine ulaştı ve NOC ekibine alarm düştü. Ekip bağlantıyı kontrol ettiğinde hattın hâlâ çalıştığını, ancak kapasitenin kritik seviyeye yaklaştığını gördü. Peki, bu yoğunluğun nedeni neydi? Büyük boyutlu bir dosya aktarımı mı yapılıyordu? Bir sunucu beklenmedik şekilde yüksek trafik mi üretiyordu? Yoksa bir uygulama, mevcut bant genişliğinin büyük bölümünü mü tüketiyordu? Yalnızca hat kullanımını izleyen bir sistem, kapasitenin dolmak üzere olduğunu gösterebilir; ancak trafiği hangi kaynakların oluşturduğunu tek başına açıklayamaz. Sorunu doğru teşhis etmek için hattın ne kadar dolu olduğunu bilmek kadar, bu trafiğin nereden geldiğini ve nereye yöneldiğini de görmek gerekir.
SNMP, ağ cihazlarınızın sağlığını izler: cihaz çalışıyor mu, işlemcisi yoruldu mu, hat ne kadar dolu? NetFlow ise internet hattının içinden geçen trafiği kaydeder: kim kime, hangi uygulama ile, ne kadar veri gönderdi?
Yalnızca SNMP kullanan bir NOC “internet hattı doldu” der. SNMP + NetFlow kullanan bir NOC “hat doldu, nedeni şu sunucunun gece yaptığı yedekleme” der. Fark, alarmı görmekle sorunu çözmek arasındaki farktır.
Sayaç Mı, Döküm Mü?
Farkı bir elektrik sayacı ile detaylı fatura dökümü gibi düşünebilirsiniz. Sayaç ne kadar harcandığını söyler, ama hangi cihazın harcadığını söylemez.
Sayaç gibi
Cihazdan düzenli aralıklarla (genelde 1–5 dakikada bir) toplam değerleri okur: kullanım yüzdesi, hata sayısı, cihazın durumu.
Detaylı döküm gibi
Cihazın kaydettiği her bağlantıyı toplar: kaynak, hedef, port, veri miktarı ve süre. Bu kayıtlara “akış” (flow) denir.
SNMP Neyi Gösterir, Neyi Gösteremez?
SNMP, NOC'un temelidir. Şunları güvenilir şekilde söyler:
- Cihaz ayakta mı, ne kadar süredir çalışıyor?
- İşlemci, bellek, sıcaklık, fan ve güç kaynağı durumu nasıl?
- Hangi bağlantı noktası aktif, ne kadar dolu, hata veriyor mu?
- Belirlenen eşik aşılırsa alarm üretir.
Cevaplayamadığı soru ise şudur: “Hat neden doldu?” Hattın dolduğunu görür ama içindeki trafiğin kimden geldiğini, nereye gittiğini ve hangi uygulamaya ait olduğunu göremez. Üstelik 5 dakikalık ortalamalar, kısa süren ani yoğunlukları da gizleyebilir.
NetFlow Ne Ekler?
NetFlow, SNMP'nin bıraktığı yerden devam eder. Trafiğin içeriğine dair şu görünürlüğü sağlar:
Önemli bir sınır: NetFlow mesajların içeriğini okumaz. Yalnızca “kim, kime, ne kadar” bilgisini tutar. Bu da hem gizlilik hem de performans açısından avantajdır.
Aynı Gece, İki Farklı NOC Yaklaşımı : Yalnızca SNMP / NetFlow + SNMP
Aynı olayı iki ekip nasıl yönetir? Aşağıdaki değerler örnektir.
| Aşama | Yalnızca SNMP | SNMP + NetFlow |
|---|---|---|
| Alarm | “İstanbul–Ankara hattı %95 dolu” | Aynı alarm, trafik detayıyla birlikte |
| Teşhis | Mühendis cihaza bağlanır, aynı sayaçlara tekrar bakar, müşteriyi arayıp sorar | Trafiğin yaklaşık %70'inin tek bir yedekleme sunucusundan geldiği hemen görünür |
| Çözüm | Tahmine dayalı: hattı büyütmek mi, kısıtlamak mı? | Hedefli: yedekleme saati kaydırılır veya o trafiğe sınır konur |
| Kapanış | “Geçici yoğunluk” | Kök neden belli, tekrarı önlenir |
İkisi de aynı alarmla başlar. Ayrışma, ilk dakikalarda olur: biri veri toplar, diğeri karar verir.
Tek Bakışta Karşılaştırma
| Konu | Yalnızca SNMP | SNMP + NetFlow |
|---|---|---|
| Ne görür? | Cihaz ve bağlantı sağlığı | Sağlık + trafiğin içeriği |
| “Hat doldu” alarmı | Evet | Evet |
| “Hattı kim doldurdu?” | Hayır | Evet |
| Uygulama bazlı görünürlük | Yok | Var |
| Güvenlik sinyalleri | Sınırlı | Güçlü |
| Kök neden bulma | Yavaş, tahmine dayalı | Hızlı, veriye dayalı |
| Kapasite planlama | Genel kullanım | Kullanıcı ve uygulama bazlı |
NetFlow Sadece Hız Değil, Güvenlik de Sağlar!
NetFlow, trafiğin davranışını gösterdiği için güvenlik ekiplerine de değer katar. Mesaj içeriğine bakmadan bile şu işaretler fark edilebilir:
-
Saldırı Belirtileri
Tek bir hedefe aniden çok sayıda farklı kaynaktan bağlantı gelmesi.
-
Ağ Taraması
Tek bir cihazın çok sayıda adresi ve portu kısa sürede yoklaması.
-
Veri Sızdırma
İçerideki bir cihazın alışılmadık bir dış adrese uzun süre büyük miktarda veri göndermesi.
-
Yetkisiz Servis
İnternete açık olmaması gereken bir servisin dışarıdan erişilebilir olması.
SNMP bunların hiçbirini ayırt edemez; yalnızca “trafik arttı” der. Bu yüzden NetFlow, NOC ile güvenlik ekibi arasında ortak bir görünürlük sağlar.
Planlama ve Geçmişe Bakış
Yarın için: SNMP hattın büyüyüp büyümediğini gösterir. NetFlow ise büyümeyi hangi uygulamanın veya şubenin yarattığını. Böylece “hattı büyütelim” yerine “şu iki uygulama için ayrı bir çözüm yeter mi?” sorusu sorulabilir.
Dün için: Bir olay yaşandığında “o saatte kim kimle konuştu?” sorusunun cevabı akış kayıtlarındadır. Bunun için kayıtların ne kadar süre saklanacağı baştan planlanmalıdır.
Başlamadan Önce Bilmeniz Gereken 4 Detay!
Sık Sorulan Sorular
S: NetFlow, SNMP'nin yerini alır mı?
Hayır. Cihazın sağlığı (işlemci, bellek, güç kaynağı, arayüz durumu) SNMP ile izlenir. NetFlow trafiğin içeriğine dair bilgi ekler. İkisi birbirini tamamlar.
S: NetFlow paketlerin içeriğini okur mu?
Hayır. Yalnızca kim kime, hangi port üzerinden, ne kadar veri gönderdi gibi üst bilgiyi kaydeder. Mesajın içeriğine bakmaz.
S: Her ağ cihazı NetFlow üretir mi?
Hayır. Destek cihazın modeline ve lisansına bağlıdır. Desteklemeyen cihazlarda sFlow gibi alternatifler kullanılabilir.
S: NetFlow cihazı yavaşlatır mı?
Platforma göre işlemci ve bellek kullanımı artabilir. Örnekleme oranı ve ayarlarla bu yük kontrol altında tutulur.
Sonuç: Alarmı görmek ile nedenini bilmek
SNMP size sorun olduğunu söyler. NetFlow, sorunun nereden geldiğini. Bir NOC hizmetini değerlendirirken şu üç soruyu sorun:
- Alarm geldiğinde, trafiğin kim tarafından üretildiği de birlikte görünüyor mu?
- Geçmiş trafik kayıtları ne kadar süre saklanıyor?
- Cihaz sağlığı ve trafik verisi tek bir olay altında birleştiriliyor mu?
Ağınızdaki mevcut izleme kapsamını birlikte haritalamak isterseniz uzmanlarımızla iletişime geçebilirsiniz.
Bize Ulaşın →