Kolektor (ang. collector) to element systemu monitoringu, który zbiera dane wysyłane przez urządzenia sieciowe lub agentów (tzw. eksporterów), porządkuje je i przechowuje, a potem udostępnia do analizy. W sieciach najczęściej chodzi o kolektor przepływów (flow collector), który odbiera rekordy NetFlow, IPFIX lub sFlow, albo o kolektor logów (log/syslog collector), który gromadzi zdarzenia z systemów. Kolektor stoi w środku łańcucha eksporter → kolektor → analizator: sam nie tworzy danych i zwykle ich nie ocenia — zbiera w jednym miejscu telemetrię z wielu źródeł. Słowo „telemetria” oznacza tu po prostu dane pomiarowe o tym, co dzieje się w sieci i systemach.
Jak działa kolektor?
Urządzenie albo agent (eksporter) obserwuje ruch lub zdarzenia, zbiera je w rekordy i wysyła do kolektora przez sieć. Kolektor czeka na ustalonym porcie, odbiera dane, rozszyfrowuje ich format, sprowadza wszystko do jednej, wspólnej postaci i zapisuje albo przekazuje dalej. Po drodze rekordy przechodzą przez kilka kroków:
- Odbiór — kolektor nasłuchuje na porcie i przyjmuje dane od eksporterów.
- Rozszyfrowanie i ujednolicenie — odczytanie formatu i sprowadzenie pól do jednej postaci (adresy IP, porty, protokół, liczba bajtów i pakietów, czas zdarzenia). W formatach NetFlow v9 i IPFIX układ pól opisują dołączane szablony.
- Wzbogacanie — opcjonalne dołożenie kontekstu, np. lokalizacji geograficznej (GeoIP), informacji o sieci źródłowej (ASN), nazw interfejsów czy etykiet aplikacji.
- Przechowywanie — zapis do bazy danych przystosowanej do dużych ilości zdarzeń w czasie (np. kolumnowej, takiej jak ClickHouse), żeby dało się później przeszukiwać historię.
- Udostępnienie — przekazanie danych do analizatora, paneli (dashboardów) albo dalszych systemów, np. SIEM (system zbierający i korelujący zdarzenia bezpieczeństwa) lub hurtowni danych.
Jakie protokoły obsługuje kolektor przepływów?
Kolektory sieciowe odbierają dane o przepływach w kilku standardach. Różnią się one tym, jak zbierają dane, oraz domyślnym portem UDP, na którym nasłuchują:
- NetFlow (Cisco) — wersje v5 i v9; przesyła pełne statystyki przepływów. Domyślnie często port
UDP/2055(port można zmienić). - IPFIX — otwarty standard organizacji IETF (RFC 7011), następca NetFlow v9 oparty na szablonach; pozwala definiować własne pola (Information Elements). Domyślnie wykorzystuje port 4739 (SCTP, TCP lub UDP).
- sFlow — opiera się na próbkowaniu pakietów, czyli analizie co którejś próbki zamiast całego ruchu; domyślnie
UDP/6343. Daje mały narzut i dobrze się skaluje, ale obraz jest przybliżony (statystyczny), a nie pełny. - J-Flow (Juniper) i NetStream (Huawei) — odpowiedniki NetFlow u innych producentów.
Eksporterami bywają routery, przełączniki, firewalle, load balancery, brokerzy pakietów oraz dedykowane sondy. W chmurze podobną rolę pełnią flow logs (np. VPC Flow Logs), wysyłane do kolektora lub usługi analitycznej.
Czym różni się kolektor logów od kolektora przepływów?
Oba odbierają dane, ale różnią się ich rodzajem i sposobem przesyłania:
- Kolektor przepływów zbiera dane o połączeniach sieciowych — kto z kim się łączył, ile danych przesłał i kiedy — bez zaglądania w treść tych połączeń.
- Kolektor logów zbiera zdarzenia z systemów, aplikacji i urządzeń (uporządkowane lub w postaci tekstu), najczęściej protokołem
syslog(UDP/514, a w wersji szyfrowanej TLS —TCP/6514) albo przez agentów.
W praktyce w zespole bezpieczeństwa (SOC) oba rodzaje danych często łączy się razem: kolektor logów lub kolektor przepływów zasila system SIEM, a same przepływy trafiają do narzędzi klasy NDR (Network Detection and Response), które wykrywają zagrożenia na podstawie ruchu sieciowego.
Czym jest kolektor w OpenTelemetry?
W monitorowaniu aplikacji (obserwowalności) OpenTelemetry Collector to osobny, niezależny od producenta proces, który odbiera, przetwarza i wysyła dalej trzy rodzaje danych: ślady (traces, czyli drogę żądania przez aplikację), metryki i logi. Składa się z elementów połączonych w potoki przetwarzania (pipeline):
- Receivers (odbiorniki) — przyjmują dane, np. przez protokół OTLP, z aplikacji i innych źródeł.
- Processors (procesory) — przetwarzają dane po drodze: filtrują, próbkują, wzbogacają, usuwają wrażliwe pola.
- Exporters (eksportery) — wysyłają dane do systemów docelowych lub do kolejnych kolektorów.
Wdraża się go na dwa sposoby: jako agenta blisko aplikacji (na tym samym hoście lub obok niej) oraz jako bramę (gateway) — wspólny punkt zbiorczy dla wielu agentów. Warto odróżnić kolektor od pojedynczego eksportera: eksporter to element wysyłający dane do jednego miejsca docelowego, a kolektor to cała usługa, która spina odbiór, przetwarzanie i wiele eksporterów naraz.
Dlaczego kolektor jest ważny dla bezpieczeństwa?
To w kolektorze powstaje spójny, zebrany w jednym miejscu obraz tego, co dzieje się w sieci i systemach — a taki obraz jest podstawą wykrywania zagrożeń i analizy po włamaniu. Dla zespołu bezpieczeństwa (SOC) i narzędzi NDR ma to kilka konkretnych skutków:
- Widoczność — dane o przepływach pokazują komunikację, której nie widać w logach aplikacji: ruch boczny między maszynami (lateral movement), skanowanie portów czy regularne „meldowanie się” zainfekowanej maszyny do serwera atakującego (beaconing do C2).
- Wykrywanie anomalii — na podstawie danych historycznych z kolektora można ustalić, jak wygląda normalny ruch, i wychwytywać odstępstwa: nietypowe ilości danych, wyciek danych na zewnątrz, połączenia do nowych adresów.
- Materiał dowodowy — rekordy przechowywane przez dłuższy czas pozwalają odtworzyć przebieg incydentu: kto, kiedy i jakim kanałem.
- Korelacja — ujednolicone dane z kolektora zasilają system SIEM, gdzie łączą się z innymi źródłami zdarzeń.
Sam kolektor bywa też celem ataku albo słabym punktem. Protokoły przepływów działają zwykle na UDP bez sprawdzania tożsamości nadawcy, więc atakujący może podszyć się pod eksporter i wysłać fałszywe rekordy (spoofing). Dlatego kolektory przyjmują dane tylko z zaufanych źródeł, umieszcza się je w osobnej sieci zarządzania, a kanały logów szyfruje (syslog przez TLS). Jeśli kolektor zostanie zalany zbyt dużą ilością danych, część telemetrii może przepaść — to problem zarówno wydajnościowy, jak i dla bezpieczeństwa.
Dowiedz się więcej
- Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — Collector zbiera rekordy NetFlow z urządzeń sieciowych i przekazuje je do analizy ruchu.
- UEBA (User and Entity Behavior Analytics) — Collector dostarcza dane wejściowe do UEBA, które służą do analizy zachowań użytkowników i encji.
- Data mining — Collector gromadzi dane, które można później przetwarzać w procesach data mining.
