{"id":4811,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4811"},"modified":"2026-08-11T22:46:59","modified_gmt":"2026-08-11T20:46:59","slug":"nsel-netflow-secure-event-logging","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nsel-netflow-secure-event-logging","title":{"rendered":"NSEL (NetFlow Secure Event Logging)"},"content":{"rendered":"<p><strong>NSEL <\/strong>(<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> Secure Event Logging)<strong>)<\/strong>to spos\u00f3b, w jaki zapora <strong>Cisco ASA<\/strong> (a tak\u017ce ASASM i Secure Firewall ASA) wysy\u0142a do systemu monitoruj\u0105cego informacje o ruchu sieciowym. Dzia\u0142a w oparciu o <strong>NetFlow w wersji 9<\/strong>. Zwyk\u0142y NetFlow co jaki\u015b czas raportuje statystyki przep\u0142yw\u00f3w. NSEL dzia\u0142a inaczej \u2014 jest <em>sterowany zdarzeniami<\/em>: wysy\u0142a rekord dopiero wtedy, gdy w danym po\u0142\u0105czeniu dzieje si\u0119 co\u015b istotnego, czyli gdy po\u0142\u0105czenie zostaje nawi\u0105zane, zako\u0144czone albo zablokowane.<\/p>\n<h2>Jak dzia\u0142a NSEL?<\/h2>\n<p>NSEL \u015bledzi przep\u0142ywy IP stanowo \u2014 zapora pami\u0119ta otwarte po\u0142\u0105czenia w swojej tablicy. Rekord NetFlow v9 powstaje w chwili, gdy stan po\u0142\u0105czenia si\u0119 zmienia, a nie w r\u00f3wnych odst\u0119pach czasu. Dane trafiaj\u0105 do kolektora (serwera, kt\u00f3ry je zbiera) przez <strong>UDP<\/strong>; w konfiguracjach cz\u0119sto u\u017cywa si\u0119 portu <code>2055<\/code>. Ka\u017cda zapora ASA \u0142\u0105czy si\u0119 z kolektorem osobno, a <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/collector-kolektor\">kolektor<\/a> rozpoznaje, kto co przys\u0142a\u0142, po adresie IP i porcie \u017ar\u00f3d\u0142owym pakietu. Zanim ASA wy\u015ble w\u0142a\u015bciwe dane, najpierw przesy\u0142a <strong>szablony (templates)<\/strong> NetFlow v9, kt\u00f3re opisuj\u0105, jakie pola znajd\u0105 si\u0119 w rekordach.<\/p>\n<p>NSEL rejestruje takie zdarzenia:<\/p>\n<ul>\n<li><code>flow-create<\/code> \u2014 powstaje nowy przep\u0142yw (po\u0142\u0105czenie zostaje nawi\u0105zane).<\/li>\n<li><code>flow-teardown<\/code> \u2014 przep\u0142yw si\u0119 ko\u0144czy (po\u0142\u0105czenie zamkni\u0119te).<\/li>\n<li><code>flow-denied<\/code> \u2014 przep\u0142yw odrzucony przez regu\u0142\u0119 zapory (poza ruchem blokowanym przez listy ACL typu EtherType).<\/li>\n<li><code>flow-update<\/code> \u2014 zdarzenie wysy\u0142ane co jaki\u015b czas w trakcie d\u0142ugiego przep\u0142ywu; przekazuje liczniki bajt\u00f3w. Bo pojawia si\u0119 okresowo, przypomina zwyk\u0142y NetFlow.<\/li>\n<\/ul>\n<p>To, kt\u00f3re zdarzenia i jaki ruch s\u0105 wysy\u0142ane oraz do kt\u00f3rego kolektora, ustawia si\u0119 przez <strong>Modular Policy Framework (MPF)<\/strong>.<\/p>\n<h2>Czym NSEL r\u00f3\u017cni si\u0119 od zwyk\u0142ego NetFlow?<\/h2>\n<p>Zwyk\u0142y NetFlow na routerach i prze\u0142\u0105cznikach wysy\u0142a zbiorcze podsumowania przep\u0142yw\u00f3w \u2014 po up\u0142ywie timera (active\/inactive) albo gdy zape\u0142ni si\u0119 cache. Chodzi w nim g\u0142\u00f3wnie o pomiar tego, ile ruchu przesz\u0142o. NSEL pokazuje co innego: konkretne <em>zdarzenia w po\u0142\u0105czeniu<\/em> typowe dla zapory \u2014 kiedy po\u0142\u0105czenie powsta\u0142o, kiedy si\u0119 sko\u0144czy\u0142o i kiedy zosta\u0142o zablokowane. Poniewa\u017c ASA wykonuje NAT, rekordy NSEL mog\u0105 zawiera\u0107 zar\u00f3wno adresy i porty oryginalne, jak i te po translacji. Dzi\u0119ki temu da si\u0119 powi\u0105za\u0107 sesj\u0119 widzian\u0105 wewn\u0105trz sieci z tym, jak wygl\u0105da ona na zewn\u0105trz.<\/p>\n<h2>NSEL a syslog<\/h2>\n<p>Wiele zdarze\u0144 NSEL m\u00f3wi mniej wi\u0119cej to samo, co komunikaty <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/syslog\">syslog<\/a> zapory (na przyk\u0142ad nawi\u0105zanie i zamkni\u0119cie po\u0142\u0105czenia czy odrzucenie ruchu). \u017beby nie raportowa\u0107 tego samego dwoma kana\u0142ami naraz, na ASA mo\u017cna wy\u0142\u0105czy\u0107 te komunikaty syslog, kt\u00f3re dubluj\u0105 NSEL. NSEL nie zast\u0119puje jednak syslogu w ca\u0142o\u015bci \u2014 komunikaty niezwi\u0105zane z przep\u0142ywami, jak zdarzenia administracyjne czy systemowe, nadal pochodz\u0105 tylko z syslogu.<\/p>\n<h2>Dlaczego NSEL ma znaczenie dla bezpiecze\u0144stwa?<\/h2>\n<p>Dla zespo\u0142\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> oraz system\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a> NSEL to \u017ar\u00f3d\u0142o wiedzy o tym, co przechodzi przez zapor\u0119. Zdarzenia <code>flow-denied<\/code> pokazuj\u0105 ruch zablokowany przez polityk\u0119 \u2014 mo\u017ce to by\u0107 rekonesans, pr\u00f3by skanowania czy \u0142amanie zasad segmentacji. Pary <code>flow-create<\/code> i <code>flow-teardown<\/code> pozwalaj\u0105 odtworzy\u0107, kto z kim si\u0119 \u0142\u0105czy\u0142, jak d\u0142ugo i ile danych przes\u0142a\u0142, a zachowane mapowanie NAT pomaga po\u0142\u0105czy\u0107 te informacje przy analizie incydentu. Poniewa\u017c rekordy powstaj\u0105 tylko przy zdarzeniach, NSEL obci\u0105\u017ca system mniej ni\u017c zapisywanie wszystkich pakiet\u00f3w, a daje wi\u0119cej szczeg\u00f3\u0142\u00f3w ni\u017c sam syslog \u2014 kt\u00f3rego wpisy bywaj\u0105 zbyt ubogie, by oceni\u0107, czy co\u015b jest zagro\u017ceniem.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 Wyja\u015bnia podstawy NetFlow, na kt\u00f3rych opiera si\u0119 rejestrowanie zdarze\u0144 w NSEL.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Pokazuje, jak dane z NSEL zwi\u0119kszaj\u0105 widoczno\u015b\u0107 ruchu i wspieraj\u0105 monitoring sieci.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 NSEL pomaga wykrywa\u0107 skutki b\u0142\u0119d\u00f3w konfiguracji przez analiz\u0119 logowanych przep\u0142yw\u00f3w.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 Dane NSEL pomagaj\u0105 zauwa\u017cy\u0107 nietypowe przep\u0142ywy typowe dla atak\u00f3w ARP spoofing.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 NSEL dostarcza zdarze\u0144 sieciowych, kt\u00f3re mog\u0105 wskazywa\u0107 na IoA.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/monitorowanie-doswiadczenia-cyfrowego\">Digital Experience Monitoring<\/a> \u2014 NSEL wspiera ocen\u0119 jako\u015bci us\u0142ug, dostarczaj\u0105c danych o ruchu wp\u0142ywaj\u0105cym na do\u015bwiadczenie u\u017cytkownika.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4811","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"NSEL (NetFlow Secure Event Logging)","ikona":"","krotki_opis":"Spos\u00f3b, w jaki zapora Cisco ASA wysy\u0142a dane o ruchu, oparty na NetFlow v9 i sterowany zdarzeniami: rekordy powstaj\u0105 przy nawi\u0105zaniu, zako\u0144czeniu i zablokowaniu przep\u0142ywu."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4811","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4811"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}