Основные звенья при осуществлении анализа.

В работе NetFlow используются три основных компонента: сенсор, коллектор и система отображения данных.

• Сенсор - демон, который слушает сеть и фиксирует потоки. Сенсор должен иметь возможность подключиться к хабу (многопортовому повторителю), "зеркалированному" порту коммутатора или любому другому устройству, для просмотра сетевого трафика. Если вы используете систему пакетной фильтрации на базе BSD или Linux, то это превосходное место для сенсора NetFlow, так как весь трафик будет проходить через эту точку. Сенсор будет собирать информацию о сеансах и передавать её в коллектор.

• Коллектор - второй демон, который слушает на UDP порту, указанному вами и осуществляет сбор информации от сенсора. Полученные данные он сбрасывает в файл для дальнейшей обработки. Различные коллекторы сохраняют данные в различных форматах.

• Наконец, система обработки читает эти файлы и генерирует отчёты в форме, более удобной для человека. Эта система должна быть совместима с форматом данных, предоставляемых коллектором.

Программное обеспечение сенсоров, коллекторов и систем отображения весьма разнообразно.

Схема работы показана на диаграмме предметной области.

Figure: Диаграмма предметной области.