Introduzione: dalla telemetria di flusso alla visibilità comportamentale

Nel dominio SCOR la visibilità è considerata un pilastro difensivo tanto quanto il controllo perimetrale. Un firewall o un IPS ispezionano ciò che attraversa un punto di enforcement, ma la maggior parte del traffico interno (est-ovest) non passa mai da un choke point. È qui che entra in gioco la telemetria di flusso: trasformare ogni router e switch in un sensore che racconta chi ha parlato con chi, quando, per quanto e con quale volume, senza dover mettere in linea un dispositivo dedicato.

NetFlow vs Flexible NetFlow

NetFlow tradizionale (v5) esporta record con un set fisso di campi. Un flusso è identificato da una 7-tupla chiave: IP sorgente/destinazione, porta sorgente/destinazione, protocollo L3, ToS e interfaccia di ingresso. È semplice ma rigido: non puoi aggiungere campi né personalizzare la chiave.

Flexible NetFlow (FNF) disaccoppia la definizione del flusso dalla sua esportazione, permettendo di scegliere quali campi sono key (definiscono l’univocità del flusso) e quali non-key (raccolti come metriche). Si costruisce a blocchi:

Componente Ruolo
flow record Definisce campi match (key) e collect (non-key)
flow exporter Dove e come inviare i dati (IP collector, porta, transport)
flow monitor Lega record + exporter e viene applicato all’interfaccia
flow sampler (Opzionale) campionamento per ridurre il carico 
flow record CUSTOM-REC
 match ipv4 source address
 match ipv4 destination address
 collect counter bytes

FNF supporta l’esportazione in IPFIX (NetFlow v10), il formato basato su template usato per trasportare i campi estesi generati da ETA. Questo è il motivo per cui FNF, non NetFlow v5, è il prerequisito per Encrypted Traffic Analytics.

Secure Network Analytics (Stealthwatch)

Secure Network Analytics raccoglie e correla la telemetria NetFlow/IPFIX per costruire una baseline comportamentale di ogni host. Le componenti principali:

  • Flow Collector – riceve e deduplica i flussi dai dispositivi (Network as a Sensor).
  • Manager (SMC) – console di gestione, analisi e reporting.
  • Flow Sensor – genera telemetria dove i device non la producono e aggiunge dati applicativi.
  • UDP Director / Flow Replicator – centralizza e ridistribuisce i flussi a più collector.

Il valore non è il singolo pacchetto ma il modello comportamentale: raggruppando gli host in host groups e osservando volumi, direzioni e pattern nel tempo, il sistema assegna un Concern Index e genera alert su deviazioni. Rileva così movimenti laterali (un client che improvvisamente fa SMB verso decine di peer interni), esfiltrazione dati (upload anomalo verso l’esterno) e canali C2 (beaconing periodico verso un host raro). Non serve una firma: basta lo scostamento dalla normalità.

Encrypted Traffic Analytics (ETA)

Con oltre l’80% del traffico cifrato in TLS, l’ispezione classica del payload è cieca. ETA classifica il traffico malevolo senza decifrarlo, sfruttando metadati che restano osservabili anche in una sessione cifrata. Due tecniche chiave:

  • IDP (Initial Data Packet) – analizza il primo pacchetto del flusso, che nell’handshake TLS contiene metadati in chiaro (versione TLS, cipher suite offerte nel ClientHello, SNI, dettagli del certificato). Malware e famiglie note usano spesso combinazioni di cipher e certificati caratteristici.
  • SPLT (Sequence of Packet Lengths and Times) – studia la sequenza di lunghezze dei pacchetti e i tempi di interarrivo. Il “ritmo” di una sessione C2 differisce da quello di un normale download HTTPS, anche a payload identicamente cifrato.

Questi metadati, esportati via IPFIX dal dispositivo IOS-XE, arrivano a Secure Network Analytics, che li inoltra a Cognitive Threat Analytics (Cognitive Intelligence) nel cloud. Lì modelli di machine learning correlano i pattern con threat intelligence globale e restituiscono un verdetto, senza che nessuna chiave privata venga mai toccata.

Trappole tipiche d’esame

  • Scenario: l’azienda vuole rilevare malware nel traffico HTTPS senza installare un proxy di decrittazione né violare la privacy. Risposta giusta: ETA — identifica il malware analizzando IDP e SPLT senza decifrare il traffico.
  • Scenario: ETA è configurato ma non produce verdetti sulle minacce nel traffico cifrato. Risposta giusta: manca l’analisi: ETA richiede Secure Network Analytics con Cognitive (Threat) Analytics abilitato; il device raccoglie i metadati ma non li giudica da solo.
  • Scenario: si tenta di abilitare ETA su uno switch legacy. Risposta giusta: ETA richiede una piattaforma IOS-XE compatibile (es. Catalyst 9000 / ASR 1000); non è disponibile su hardware/software non supportato.
  • Scenario: serve un record NetFlow personalizzato con campi non standard esportato in IPFIX. Risposta giusta: Flexible NetFlow, non NetFlow v5 (che ha campi fissi).
  • Scenario: rilevare un host interno che effettua scansioni e movimenti laterali est-ovest senza dispositivi inline. Risposta giusta: Secure Network Analytics con telemetria NetFlow (Network as a Sensor) e analisi comportamentale/baseline.