Метаданные потоков (кто с кем, сколько, протоколы) помогают детектировать аномалии, C2 beaconing-паттерны, exfil по объёму, без полного PCAP. Дешевле хранить, хорошо для baselining, но без payload ограничена точность.
Разбор
- Сочетают с DNS и endpoint telemetry.
- Retention и семплирование влияют на детект.
- Privacy: даже metadata чувствительна.
- Хороший источник для hunting.
Итог
Flow-данные — экономичный слой сетевого детекта и расследования.