流量的两端称为使用者和提供者。使用者使用者发起流程，提供者回应使用者（例如，分别为客户端和服务器）。

每个观察结果都会跟踪流在该分钟间隔内每个方向上的数据包数、字节数和其他指标。除了快速过滤之外，还可以使用探索观察结果来直观地探索流。点击生成的流观察结果列表，即可查看该流的详细信息，包括该流生命周期内的延迟、数据包和字节数。

Warning

对于使用深度可视性代理或执行代理检测的主机，Cisco Secure Workload 能够将流数据与提供或使用流的进程相关联。因此，用于启动进程的完整命令行参数（可能包括数据库或 API 凭证等敏感信息）可用于分析和显示。

这是整个语料库的当前范围的未过滤摘要时间序列数据。此组件的目的是让您了解正在查看的日期范围，并通过在组件内拖动来轻松更改日期范围。图表中的数据可用于确定选择哪个时间范围。您可以选择要显示的不同指标，默认情况下会显示流观察结果的计数。

语料库选择器目前最多可以支持选择大约 20 亿个流观察结果。

在这里，您可以定义过滤器以缩小搜索结果的范围。点击所有可能维度的过滤器 (Filters) 一词旁边的 (?) 图标。对于任何用户标签数据，这些列也将在适当的时间间隔内可用。此输入还支持 and、or、not 和括号关键字，使用这些关键字表示更复杂的过滤器。例如，IP 1.1.1.1 和 2.2.2.2 之间的方向无关过滤器可以写作：

Consumer Address = 1.1.1.1 and Provider Address = 2.2.2.2 or Consumer Address = 2.2.2.2 and Provider Address = 1.1.1.1

And to additionally filter on Protocol = TCP:

(Consumer Address = 1.1.1.1 and Provider Address = 2.2.2.2 or Consumer Address = 2.2.2.2 and Provider Address = 1.1.1.1) and Protocol = TCP

通过将“-”转换为范围查询，过滤器输入还支持将“、”和“-”用于端口、使用者地址和提供者地址。以下是有效过滤器的示例：

Note	由于流数据仅在注入时才会使用用户标签进行标记，因此用户标签在启用后不会立即显示。标签可能需要几分钟才会开始显示在“流搜索”中。此外，可用的用户标签会有所不同，具体取决于您选择的语料库选择器的哪个部分，因为启用的标签可能已在不同时间更改。

此组件显示所选间隔（在上述语料库选择器中做出的选择）内各种指标的汇总总计。使用下拉列表更改显示的指标。

也可以在此组件中进一步缩小所选间隔。点击图表中您要关注的区域，“前 N 个”(Top N) 图表和下面的数据都将更新为仅包含该所选时间间隔内的数据。

图表显示了左侧已过滤时序图表中的前 N 个值。在时序图表中选择“流观察结果”(Flow Observations) 中的一个峰值，并在“前 N 个”(Top N) 图表中选择主机名，可显示对这些流观察结果影响最大的主机名（使用者和提供者）列表。此外，如果时间序列图表设置为显示 SRTT，则“排名靠前的主机名”(Top Hostnames) 会显示对该所选 SRTT 影响最大的主机名。

点击“前 N 个”(Top N) 图表中的任何项目，以显示一个菜单，允许您 向下钻取或排除该值。

• 点击向下钻取 (Drill-Down) 以添加将结果限制为仅包含该值的过滤器。

• 点击排除 (Exclude) 以添加从结果中排除该值的过滤器。

Note	点击向下钻取 (Drill-Down) 或排除 (Exclude) 后，必须按下过滤器 (Filter) 图标才能使过滤器生效。这样可以快速执行多个排除操作，而不会在中间重复更新页面。

这是与以上页面中的过滤器和选择相匹配的实际流观察结果的列表。默认情况下，将从间隔开始时加载 20。可以使用下拉菜单增加加载的数量。还可以使用采样 (Sampled) 而不是按顺序 (In order) 从所选间隔加载随机的流观察结果集。采样 (Sampled) 设置可用于从所选间隔获取更具代表性的流观察结果集，而不是从间隔开始按顺序加载它们。

点击探索观察结果 (Explore Observations) 结果，启用允许快速浏览高维数据的图表视图（平行坐标 (Parallel Coordinates) 图表）。起初，此图表有点难以理解，但在仅启用您感兴趣的维度（通过取消选中维度 (Dimensions) 下拉列表中的项目）以及重新排列维度的顺序时，此图表非常有用。此图表中的单条线表示单个观察结果，该线与各个轴相交的位置表示该观察结果对于该维度的值。将鼠标悬停在图表下方的观察结果列表上，查看图表中表示该观察结果的突出显示线时，这一点会变得更清楚：

由于流数据的高维特性，此图表默认情况下很宽，需要向右滚动才能看到整个图表。因此，禁用除您感兴趣的维度之外的所有维度将非常有用。

采样与按顺序

建议在启用采样和更多流的情况下完成探索观察结果。这样，您就可以查看构成所选间隔的更多各种流。因此，如果您在上面的时间序列图表中选择了 200 万个流观察结果，则在整个间隔内均匀加载 1000 个流观察结果，而按顺序加载流将从最开始处加载前 1000 个流观察结果间隔：

请注意，所有按顺序观察的时间戳如何从 9:09 开始，以及观察结果如何均匀分布在采样版本中的选定间隔内。

过滤

沿任意坐标轴拖动光标可创建一个选区，只显示与该选区匹配的观察结果。再次点击轴可随时删除选择。一次可以在任意数量的轴上进行选择。观察结果列表将更新，以便仅显示所选观察结果：

流方向（客户端/服务器或提供者/使用者分类）对于可视性、自动策略发现和执行非常重要。每个单播流都有一个客户端和一个服务器分类。

例如，如果有客户端 (192.168.1.1-192.168.1.3) 使用 https 访问网络服务器 (192.168.2.1)，通常源端口是 1025-65535 范围内的短暂端口，目标端口是 443。

准确的客户端-服务器方向为：

• 客户端：192.168.1.1-3

• 服务器：192.168.2.1

• 服务：TCP 端口 443

自动发现策略生成的策略如图所示（左侧终端已分组）：

现在，如果客户端-服务器方向决策相反（分类不准确），即：

• 客户端：192.168.2.1

• 服务器：192.168.1.1-3

• 服务：临时端口列表（45680、51112、45553）

那么，在上述不准确的分类中，生成的策略可能如图所示：

这会在策略执行方面消耗更多资源。此外，根据执行策略的方式，即使 192.168.1.1-3 使用这些临时端口，它们也无法访问 192.168.2.1。例如，如果使用 Cisco Secure Workload 软件传感器执行，则客户端到 Web 的执行策略 (ESTAB) 不会与客户端生成的发往 Web 的流量（NEW、ESTAB）不匹配。

Cisco Secure Workload 中使用时间戳和 TCP 标志来确定客户端-服务器方向。如果没有 TCP 标志信息（SYN、SYN/ACK），例如，数据包可能是 UDP/ICMP，或者使用的硬件传感器不支持方向信号，那么就会使用用户定义的覆盖规则、时间戳和其他启发式方法来推断流量方向。根据定义，启发式方法无法保证 100% 准确。客户端-服务器的准确度取决于所用传感器的类型和使用传感器的条件。您可以使用 Cisco Secure Workload 的 REST-API (OpenAPI) 插入客户端-服务器覆盖规则，以便为 Cisco Secure Workload 获取错误方向的流类型识别服务器端口。然后，允许 Cisco Secure Workload 处理使用这些规则捕获的新流数据，然后在固定流方向的持续时间内生成策略。有关用于指定覆盖规则的 API 的更多详细信息，请参阅：客户端服务器配置。您还可以手动定义策略并检查/删除不需要的策略。请参阅策略。

Cisco Secure Workload 支持以下流分析精确度模式：

• 详细模式：过去，详细模式是唯一可用的模式，其中代理会报告观察到的每个流以及有关观察到的流的详细统计信息。捕获的统计信息包括数据包和字节计数、TCP 标志、连接统计信息、网络延迟、SRTT 等。虽然这种报告在很多情况下都是可取的，但报告和处理的计算量很大，而且，如果主要使用案例只是分段，可能并不会严格要求使用这种报告。

• 对话模式：对话模式提供了比传统详细模式更轻量级的替代方案。处于对话模式的代理旨在尽可能报告对话而不是流（即只要它们能够准确地进行客户端-服务器分类）。这适用于 TCP、UDP 和 ICMP 流。

在详细模式下，对于 TCP/UDP 流，我们报告五元组流 {源和目标 IP、源和目标端口以及协议}。而对于对话模式，代理会省略源端口，因为它们是临时端口 {每次新连接时都会更改}，使其成为四元组流。

Note	将流检测为 4 元组还取决于客户端-服务器检测算法，而该算法依赖于服务器/目标端口是否为公认端口 (0-1023)。

因此，如果您使用的自定义应用不使用已知服务器/目标端口，则可以使用 OpenAPI 接口提取已知服务器端口。这些配置不会应用于过去的流，只会影响从该点开始（即，向前）的流上的标记。要优化服务器端口，请参阅客户端服务器配置。

对话模式下的代理报告包含精简信息，而省略字段的完整列表包括：

• TCP/UDP 源端口（临时端口）

• 正向/反向 TCP 瓶颈

• TCP 握手存储桶

• SRTT(µs)

• 正向/反向数据包重新传输

• SRTT 可用

• 正向/反向拥塞窗口已缩小

• 正向/反向 MSS 已更改

• 正向/反向 TCP 接收窗口为零？正向/反向突发指示符

• 正向/反向最大突发大小 (KB)

要启用对话模式，请参阅软件代理配置中的“流可视性”配置部分

Note	由于多种因素的影响，包括但不限于 TCP 流的百分比、在已知服务端口上侦听的服务数量以及代理的内存限制，因此将代理更改为以对话模式报告所能获得的确切收益可能会有所不同。

Note	为某些代理打开会话模式后，流搜索页面的观察结果中可能会混合出现会话和流。

代理作为服务器位于客户端和互联网之间，可控制和限制客户端直接访问互联网。当客户要访问互联网服务时，它会指示代理服务器代表它与网络服务器建立 TCP 连接。成功建立连接后，代理会向客户端发送 HTTP 响应和状态。客户端通过已建立的 TCP 连接进行交互，似乎是直接与 Web 服务进行通信。代理就像一座桥梁，为两个 TCP 连接之间的数据传输提供便利。

托管安装了 CSW 代理的应用的工作负载会发起互联网服务请求。首先，它会指示代理代表它创建一个通信通道。与互联网服务的交互通过已建立的代理连接进行。CSW 代理只捕获工作负载与代理服务器之间的流。在当前 CSW 代理配置下，此流的实际目标仍然未知。

代理会使用当前 PCAP 过滤器分析所有传出 TCP 数据包，从而扫描负载中的“CONNECT”HTTP 谓词。此过程使得代理能够捕获流中的代理请求。将流导出到收集器后，代理会为每个已识别的代理流生成一个有效流。它会使用 related_key 字段在代理和代理流之间建立连接，并合并五元组信息。

Note	默认情况下，代理流中的可视性处于启用状态。要禁用此功能，请将 enable_proxy_flows_visibility: 0 添加到传感器配置文件。

前提条件

将流分析精确度 (Flow Analysis Fidelity) 设置为详细 (Detailed) 模式。

Note	仅通过 HTTP/HTTPS 代理来运行。 仅捕获 CONNECT 请求。目前，对 GET 请求不提供支持。 默认情况下，代理中的流分析精确度模式为对话 (Conversations)。

程序

1. 从导航菜单中，依次选择调查 (Investigate) > 流量 (Traffic)。

   流量 (Traffic) 页面有助于快速过滤和深入了解流语料库。

2. 点击展开图标以查看流详细信息。

   版本 3.9 及更高版本的代理可以捕获代理流的目标。在调查 (Investigate) > 流量 (Traffic) 页面上，您可以观察到两个不同的流：

   • 代理流 (Proxy Flow)：源自工作负载到代理。

   • 已代理的流 (Proxied Flow)：表示从工作负载到远程完全限定域名 (FQDN) 或 IP 地址的有效隧道流。

   这些流相互关联并指定为相关流。具体的考虑因素包括：

   • 如果发往代理的请求定向到远程 FQDN，则有效流的提供者地址 (Provider Address) 会被标记为未知 (Unknown)，但提供者域名 (Provider Domain Name) 会被设置为 FQDN。

   • 如果发往代理的请求定向到远程 IP 地址，则提供者地址 (Provider Address) 为该特定地址，而提供者域名 (Provider Domain Name) 将留空。

   

   

Cisco Secure Workload 威胁智能数据包会每 24 小时更新一次已知的恶意 IPv4 地址。根据这些恶意 IPv4 地址分析来自使用者或提供者的流量。此分析有助于识别连接到流搜索 (Flow Search) 页面上的这些恶意 IPv4 地址的工作负载。要过滤连接到已知恶意 IPv4 地址的流，请使用 Malicious? = true、Provider Malicious? = true 或 Consumer Malicious? = true 查询进行过滤。

Note	默认情况下，识别已知恶意 IP 地址的功能处于禁用状态。在启用此功能之前，您将无法查看恶意使用者或提供者 IP 地址以及恶意资产的只读资产过滤器。

要启用此功能来识别已知的恶意 IP 地址，请联系思科技术支持中心。