для Qwerty в ответ на зачем-то удаленное безобидное "все провайдеры это видят".
не, не видели. Видим мы netflow,и то не все - потому что с какого-то размера приходится делать его sampled. Этого хватит для выявления аномалий и DoS, а больше нам для работы и не надо.ну то есть теоретически могли бы отодвинуть или сдублировать линк в сторону сорма (там не все так просто и не всякое оборудование a) технически способно b) физически выдержит - там и так обычно все на пределе пропускной способности, поскольку это единственное во всей сети узкое место, куда заворачивается вообще абсолютно весь траффик, второго такого может не потянуть, а отключать фсбшную коробку - они позвонят, причем последние годы - довольно быстро, иногда раньше чем собственный мониторинг срабатывал), а практически все упирается в вопрос - ну вот валится у тебя с этого порта 1x10G (это совсем немного). Если у тебя есть доступ к сети достаточной мощности - сдублируй себе загруженную под 75% десяточку в спан, и подключи свой любимый вайршкварк. Шо, йапнулся или машина повисла? От тож. Не так-то просто даже хотя бы выделить оттуда интересный траффик, понадобится недешевое железо и понимание, что именно искать (у майора оно есть, поскольку он знает твой ip, недешевое железо называется "сормович" или aнaл-ог - мы его пользовать не можем, управление l2-линком уходит в сторону ФСБ, и пароли нам неизвестны.)
но вот в свете закона яровой все становится по-другому. Это уже не майор (он жадный и не собирается оплачивать хранилку) а мы должны все собирать и бережно на блюдечке подать по приказу, а кто в колхоз не идет - корову отнимут.
как это сделать - никто, на самом деле, пока не понимает. Поэтому выполняем на от...сь.
Когда (никакого `если` тут нет) придумаем как и где у вас отнять на это деньги - теоретически, сможем в этих данных, уже записанных, поэтому не нужны сверхмощные сетевые железки, порыться.
