Данные по проводам или изображение провода — это информация, которая передается по компьютерным и телекоммуникационным сетям, определяя связь между клиентскими и серверными устройствами. Это результат декодирования протоколов проводов и транспортных протоколов, содержащих двунаправленную полезную нагрузку данных. Точнее, данные провода — это информация, которая передается на каждом уровне модели OSI (уровень 1 не включен, поскольку эти протоколы используются для установления соединений, а не для передачи информации).
Данные о проводах — это наблюдаемое поведение и взаимодействие между сетевыми элементами, которые являются важным источником информации, используемым ИТ-персоналом для устранения неполадок с производительностью, создания базовых показателей активности, обнаружения аномальной активности, расследования инцидентов безопасности и обнаружения ИТ-активов и их зависимостей.
Согласно исследовательской записке американской исследовательской и консалтинговой компании Gartner за март 2016 года , в будущем проводные данные будут играть более важную роль для аналитики, чем машинные данные: «Хотя данные журналов, безусловно, будут играть роль в будущем мониторинге и аналитике, именно проводные данные — радикально переосмысленные и используемые по-новому — окажутся наиболее важным источником данных для управления доступностью и производительностью в течение следующих пяти лет». [1]
Потоки данных в режиме реального времени также являются важными источниками данных для команд бизнес- и оперативной разведки . В таких сценариях данные в режиме реального времени используются для измерения транзакций заказов для составления отчетов в режиме реального времени по объему транзакций, показателям успешности и неудач; отслеживания показателей приема пациентов в больницы; а также для составления отчетов по весам и размерам самолетов перед взлетом.
Данные, полученные с помощью проводов, отличаются от данных, сгенерированных машиной , которые представляют собой информацию, сообщаемую системой, как правило, в виде журналов, полученных от таких элементов, как сетевые маршрутизаторы, серверы и другое оборудование. В отличие от этих форм данных, сгенерированных машиной, которые зависят от конфигураций регистрации этих устройств, данные, полученные с помощью проводов, определяются протоколами проводов и транспорта. Между данными, полученными с помощью проводов, и данными, сгенерированными машиной, есть небольшое совпадение, но также есть и существенные различия. Например, журналы веб-серверов обычно записывают ответы с кодом состояния HTTP 200 , указывающие на то, что веб-страница была доставлена клиенту. Однако веб-серверы не регистрируют полезную нагрузку транзакции и поэтому не смогут показать, какие ответы с кодом состояния HTTP 200 были для страниц с сообщением «сервис недоступен». Эта информация содержится в данных, полученных с помощью проводов, или полезной нагрузке транзакции и не обязательно регистрируется сервером.
Традиционные методы захвата и анализа данных проводов включают автономные сетевые анализаторы пакетов. Новые подходы получают копию сетевого трафика из зеркала порта (SPAN) или сетевого ответвления и собирают эти пакеты в полные сеансы и потоки транзакций для каждого клиента, анализируя всю полезную нагрузку транзакции в реальном времени и генерируя метаданные по этим транзакциям без сохранения реальных пакетов. [2]