NSEL (NetFlow Secure Event Logging))to sposób, w jaki zapora Cisco ASA (a także ASASM i Secure Firewall ASA) wysyła do systemu monitorującego informacje o ruchu sieciowym. Działa w oparciu o NetFlow w wersji 9. Zwykły NetFlow co jakiś czas raportuje statystyki przepływów. NSEL działa inaczej — jest sterowany zdarzeniami: wysyła rekord dopiero wtedy, gdy w danym połączeniu dzieje się coś istotnego, czyli gdy połączenie zostaje nawiązane, zakończone albo zablokowane.
Jak działa NSEL?
NSEL śledzi przepływy IP stanowo — zapora pamięta otwarte połączenia w swojej tablicy. Rekord NetFlow v9 powstaje w chwili, gdy stan połączenia się zmienia, a nie w równych odstępach czasu. Dane trafiają do kolektora (serwera, który je zbiera) przez UDP; w konfiguracjach często używa się portu 2055. Każda zapora ASA łączy się z kolektorem osobno, a kolektor rozpoznaje, kto co przysłał, po adresie IP i porcie źródłowym pakietu. Zanim ASA wyśle właściwe dane, najpierw przesyła szablony (templates) NetFlow v9, które opisują, jakie pola znajdą się w rekordach.
NSEL rejestruje takie zdarzenia:
flow-create— powstaje nowy przepływ (połączenie zostaje nawiązane).flow-teardown— przepływ się kończy (połączenie zamknięte).flow-denied— przepływ odrzucony przez regułę zapory (poza ruchem blokowanym przez listy ACL typu EtherType).flow-update— zdarzenie wysyłane co jakiś czas w trakcie długiego przepływu; przekazuje liczniki bajtów. Bo pojawia się okresowo, przypomina zwykły NetFlow.
To, które zdarzenia i jaki ruch są wysyłane oraz do którego kolektora, ustawia się przez Modular Policy Framework (MPF).
Czym NSEL różni się od zwykłego NetFlow?
Zwykły NetFlow na routerach i przełącznikach wysyła zbiorcze podsumowania przepływów — po upływie timera (active/inactive) albo gdy zapełni się cache. Chodzi w nim głównie o pomiar tego, ile ruchu przeszło. NSEL pokazuje co innego: konkretne zdarzenia w połączeniu typowe dla zapory — kiedy połączenie powstało, kiedy się skończyło i kiedy zostało zablokowane. Ponieważ ASA wykonuje NAT, rekordy NSEL mogą zawierać zarówno adresy i porty oryginalne, jak i te po translacji. Dzięki temu da się powiązać sesję widzianą wewnątrz sieci z tym, jak wygląda ona na zewnątrz.
NSEL a syslog
Wiele zdarzeń NSEL mówi mniej więcej to samo, co komunikaty syslog zapory (na przykład nawiązanie i zamknięcie połączenia czy odrzucenie ruchu). Żeby nie raportować tego samego dwoma kanałami naraz, na ASA można wyłączyć te komunikaty syslog, które dublują NSEL. NSEL nie zastępuje jednak syslogu w całości — komunikaty niezwiązane z przepływami, jak zdarzenia administracyjne czy systemowe, nadal pochodzą tylko z syslogu.
Dlaczego NSEL ma znaczenie dla bezpieczeństwa?
Dla zespołów SOC oraz systemów NDR/SIEM NSEL to źródło wiedzy o tym, co przechodzi przez zaporę. Zdarzenia flow-denied pokazują ruch zablokowany przez politykę — może to być rekonesans, próby skanowania czy łamanie zasad segmentacji. Pary flow-create i flow-teardown pozwalają odtworzyć, kto z kim się łączył, jak długo i ile danych przesłał, a zachowane mapowanie NAT pomaga połączyć te informacje przy analizie incydentu. Ponieważ rekordy powstają tylko przy zdarzeniach, NSEL obciąża system mniej niż zapisywanie wszystkich pakietów, a daje więcej szczegółów niż sam syslog — którego wpisy bywają zbyt ubogie, by ocenić, czy coś jest zagrożeniem.
Dowiedz się więcej
- Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — Wyjaśnia podstawy NetFlow, na których opiera się rejestrowanie zdarzeń w NSEL.
- Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Pokazuje, jak dane z NSEL zwiększają widoczność ruchu i wspierają monitoring sieci.
- Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — NSEL pomaga wykrywać skutki błędów konfiguracji przez analizę logowanych przepływów.
- ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — Dane NSEL pomagają zauważyć nietypowe przepływy typowe dla ataków ARP spoofing.
- IoA (Indicator of Attack) — NSEL dostarcza zdarzeń sieciowych, które mogą wskazywać na IoA.
- Digital Experience Monitoring — NSEL wspiera ocenę jakości usług, dostarczając danych o ruchu wpływającym na doświadczenie użytkownika.
