Kurumsal trafik analizi: ağınızın normalini tanıyın, beklenmeyeni fark edin

Saatlik görünümden aylık değerlendirmeye

İzlenecek devreler ve ağ noktaları belirlendikten sonra gelen ve giden trafik, yoğun saatler ve geçmiş dönem karşılaştırmaları bir izleme planında toplanır. Saatlik, günlük, haftalık veya aylık zaman pencereleriyle grafikler ve raporlar sunulabilir. Ayrıntı düzeyi; toplama sıklığı, saklama süresi ve seçilen aracın kapasitesine göre kararlaştırılır. Uzun dönem ortalamalarının kısa trafik sıçramalarını gizleyebileceği de raporda dikkate alınır.

Yönetici özeti kapasite eğilimini ve açık aksiyonları gösterirken teknik görünüm daha ayrıntılı olabilir: hangi bağlantı, hangi yönde, hangi zaman aralığında değişti? PRTG planlanmış rapor ve e-posta ile rapor dağıtımını destekler. Rapor gönderim takvimi ile olay bildirimi birbirinden ayrı yapılandırılır. [1]

• Download/upload eğrileri, toplam hacim ve yoğun kullanım aralıkları.
• Uygun Flow verisi varsa kaynak/hedef IP, TCP/UDP portu, protokol ve en çok trafik üreten uçlar.
• İzlenen noktaya göre bağlantı sayısı, trafik yönü ve önceki benzer dönemlerle karşılaştırma.
• Tespit edilen olay, yapılan inceleme, müşteri kararı ve sonraki aksiyonların özeti.

IP ve port ayrıntısı için doğru ölçüm noktası

SNMP arayüz sayaçları hattın toplam yükünü göstermek için uygundur; tek başına her IP’nin hangi TCP/UDP portunu kullandığını açıklamaz. Bu ayrıntı için uyumlu router veya firewall üzerinden NetFlow/IPFIX gibi akış kayıtları, uygun örneklenmiş akış verisi ya da yetkilendirilmiş paket başlığı gözlemi değerlendirilir. PRTG farklı toplama yöntemlerini destekler; görülebilen alanlar seçilen sensöre ve cihazın sağladığı verilere bağlıdır. [2]

Fiziksel switch portu ile TCP/UDP servis portu farklı kavramlardır. NAT sonrasında tek bir genel IP görülüyorsa, iç cihazı belirlemek için doğru noktadan alınan ek kayıt gerekebilir. VPN veya şifreleme iç trafiğin ayrıntısını sınırlayabilir. Örnekleme, kayıp akış kayıtları ve donanım hızlandırması da görünürlüğü etkiler; eksik gözlem bütün ağın eksiksiz kaydı olarak sunulmaz.

Normal davranış profili nasıl oluşur?

İlk aşamada işletmenin temsilî çalışma döngüsü gözlenir. Vardiyalar, hafta sonları, bulut yedekleme pencereleri, yazılım güncellemeleri ve dönemsel yoğunluklar müşteriyle birlikte işaretlenir. Böylece pazartesi sabahı başlayan üretim trafiği ile gece beklenmeyen veri çıkışı aynı eşikle değerlendirilmez.

Hacim eşikleri ve süre koşulları, benzer gün ve saatlerdeki davranışla birlikte kullanılabilir. Kullanılan platforma göre sapma analizi ve ek korelasyon kuralları tasarlanır. Bu bir kez açılıp unutulan ayar değildir: yeni bir ERP, şube veya yedekleme işi başladığında profil güncellenir. Tek bir olağandışı örneğin hemen yeni normal kabul edilmemesi ve bakım pencerelerinin doğru işaretlenmesi yanlış alarmları azaltır.

Olağandışı trafik, kesin saldırı demek değildir

Bir sapma; planlı dosya aktarımı, yanlış yapılandırılmış yedekleme, sorunlu bir cihaz, yetkisiz kullanım veya saldırı belirtisi olabilir. Trafik grafiği tek başına kötü niyeti kanıtlamaz. Olay zamanı, hedefler, bağlantı örüntüsü, firewall/uygulama kayıtları ve müşterinin o sıradaki iş faaliyeti birlikte incelenir.

Örneğin mesai dışında artan dışa trafik için önce planlı yedekleme olup olmadığı sorulur. Kısa sürede çok sayıda yeni hedef veya porta yönelen bağlantılar inceleme gerektirebilir; bunlar da bağlam doğrulanmadan saldırı diye etiketlenmez. Bir DDoS şüphesinde ise hat doluluğu ile üst sağlayıcı tarafındaki koruma kapsamı ayrıca değerlendirilir.

Olayı bekletmeden, seçtiğiniz kanala bildirim

Kararlaştırılan kural tetiklendiğinde e-posta, uygun WhatsApp entegrasyonu veya birlikte seçilen bildirim kanalı üzerinden uyarı akışı kurulabilir. PRTG’de eşik ve durum değişiklikleri bildirim tetikleyebilir; e-posta ve HTTP action gibi yöntemler mevcuttur. WhatsApp için ayrıca uygun bir entegrasyon, alıcı tanımları ve kanal koşulları gerekir; temel grafik aracının yerleşik özelliği olduğu varsayılmaz. [3]

Hedef, olayın fark edilmesi ile müşterinin haberdar olması arasındaki süreyi azaltmaktır. Algılama gecikmesi; örnekleme aralığına, Flow dışa aktarma zamanına, kuralın bekleme süresine ve bildirim kanalına bağlıdır. Bu nedenle her paket için sıfır gecikme veya her mesajın anında ulaşacağı sözü verilmez. Bildirim zamanı, teslim durumu ve gerekirse alternatif kanala geçiş kabul testinde kontrol edilir.

Uyarıda olay zamanı, etkilenen devre, normalden sapma, inceleme durumu ve yanıt yolu bulunur. Hassas IP ayrıntıları açık mesaj içine doldurulmak yerine yetkili erişimle paylaşılabilir. Tekrarlayan alarmlar birleştirilir; alındı teyidi, yükseltme sırası ve mesai dışı iletişim koşulları sözleşmede netleştirilir.

Devam mı, inceleme mi, kontrollü sınırlama mı?

Müşteri, bildirilen trafiği planlı ve beklenen bir işlem olarak doğrulayabilir. Bu durumda olay kaydına açıklama eklenir, izleme sürer ve gerekiyorsa zamanla sınırlı bir istisna tanımlanır. Müşteri trafiği tanımıyorsa teknik inceleme başlatılır; uygun olduğunda belirli akışların hızının sınırlandırılması, filtrelenmesi veya ilgili cihazın ayrıştırılması gibi seçenekler değerlendirilir.

Varsayılan akışta yalnızca anomali uyarısı oluştu diye müşteri trafiği otomatik kesilmez. Kısıtlama; yetkili müşteri onayıyla veya önceden açıkça kabul edilmiş bir müdahale politikası kapsamında uygulanır. Etkilenecek uygulamalar, kuralın kapsamı, süresi ve geri alma adımı belirlenir. Sonrasında normal iş akışının geri geldiği doğrulanır. Böylece izleme, müşterinin kontrolünü koruyan bir karar sürecine dönüşür.

PRTG, MRTG, router akışları ve DPI nerede kullanılır?

PRTG; uygun sensörlerle ağ ölçümleri, akış analizi, grafikler ve uyarı akışlarının bir arada ele alınabileceği seçeneklerden biridir. Lisans, sensör sayısı, depolama ve entegrasyon kapsamı projeye göre seçilir. MRTG ise router sayaçlarından trafik yükü grafikleri üretmek için kullanılabilir. Tek başına MRTG grafiği, tüm IP/port ayrıntılarını veya saldırı sınıflandırmasını sağlayan bir davranış analizi sistemi olarak sunulmaz. [2][4]

Router tarafında MikroTik Traffic Flow gibi uygun özellikler NetFlow/IPFIX kayıtlarını bir toplayıcıya iletebilir. Ölçümün hangi paketleri gördüğü doğrulanmalıdır; MikroTik dokümantasyonu CPU tarafından işlenmeyen donanım offload trafiğinin Traffic Flow’da görünmeyeceğini açıklar. İzlemeyi açmadan önce cihaz modeli, yazılım, trafik yolu ve performans etkisi kontrol edilir. [5]

Deep Packet Inspection (DPI), yani derin paket inceleme, akış metadatası ve toplam kullanım grafiğinden farklı bir katmandır. İhtiyaç varsa uygun firewall veya analiz platformunda ayrıca değerlendirilir. PRTG’nin başlık temelli paket analizi tam içerik incelemesiyle aynı şey değildir. Şifreli içeriğin ayrıntılı incelenmesi ayrı TLS inspection tasarımı, uyumlu uçlar, yetkilendirme ve istisna politikası gerektirebilir. Standart trafik raporu için müşterinin mesaj ve dosya içeriklerini okumak varsayılan bir gereksinim değildir. [6][7]

Ölçümün sınırı ve verinin kontrolü müşteride kalmalı

Hizmet kurulmadan önce izlenecek ağlar, toplanacak alanlar, saklama süresi, erişebilecek roller ve rapor alıcıları yazılı belirlenir. Amaç için gereken en az veri tercih edilir; gerektiğinde IP bilgileri maskelenir. Kullanıcı ve müşteri kayıtları birbirinden ayrılır, yönetim erişimi korunur ve değişiklikler kaydedilir.

İlk kurulumda yalnızca izin verilen ağ noktaları izlemeye alınır. Paket içeriği kaydı veya TLS çözümleme gibi daha ayrıntılı işlemler ayrı kapsam ve yetkilendirme gerektirir. Veri işleme koşulları, tarafların sorumlulukları ve müşterinin iç bilgilendirme süreçleri hizmete başlamadan netleştirilir.

MyFi Business ile nasıl başlarız?

Bu hizmet, talep üzerine kurumsal internet veya Metro Ethernet projesine eklenebilir. Önce kritik uygulamalarınızı, mevcut router/firewall yapınızı, izlenecek devreleri ve raporlama ihtiyacınızı birlikte değerlendiririz. Teklifte hangi grafiklerin sunulacağı, hangi IP/port alanlarının görülebildiği, bildirim kanalı, teknik inceleme kapsamı ve müdahale yetkileri açıkça yer alır.

Devreye alma sırasında temsilî trafikle veri toplama doğrulanır; güvenli bir test olayıyla bildirimin doğru kişiye ulaştığı ve yanıt sürecinin çalıştığı kontrol edilir. Temel profil oluşunca eşikler ayarlanır. Periyodik görüşmelerde gereksiz alarmlar, kapasite eğilimleri ve tamamlanmamış aksiyonlar ele alınır. Böylece tek muhatapla erişim hizmetinin yanında görünürlük ve olay koordinasyonu da planlanabilir.