quic_unknown — нераспознанный QUIC

Приёмы, специфичные для QUIC. Общий метод классификации, наборы и DSL — на странице unknown_discovering.

• Поток отнесён к quic_unknown.

Заметная доля quic_unknown на узле — повод проверить, можно ли этот узел атрибуцировать.

Посмотреть, какие прикладные протоколы присутствуют на том же серверном IP.

• Наличие рядом распознанного трафика, отнесённого к сервису, — подсказка, а не итог. На узле может жить несколько сервисов, а распознавание может быть ошибочным. Нельзя заканчивать анализ на этом этапе.

• Отсутствие рядом чего-либо распознанного тоже не вывод: имя хоста может быть видно, но не отнесено ни к одному протоколу.

Выгрузка может быть агрегированной — например, распределение прикладных протоколов на узлеили топ узлов по протоколу — без детализации по потокам. Работать с тем, что есть; если агрегата для вывода недостаточно, запросить сырой лог по конкретному узлу.

Состав выгрузки меняется со временем. По одной выгрузке нельзя фиксировать перечень узлов.

Когда имя хоста в raw_flow недоступно, его можно получить из данных DNS. Сопоставление ведётся по IP хоста и близости во времени.

• Связь не жёсткая — совпадение является гипотезой.
• Часто в DNS по узлу нет ничего. Это не говорит ничего о сервисе.

Владелец адресного блока, автономная система, обратная зона DNS, публично заявленные диапазоны сервиса. Важны всегда, в том числе когда имя хоста доступно.

Каждый из этих источников даёт гипотезу о сервисе.

Формулировать намерение: какой срез нужен, за какой период и что должно быть видно.

1. Узлы с наибольшим объёмом quic_unknown за период.
2. Распределение прикладных протоколов на конкретном узле.
3. Имена хостов, связанные с узлом.
4. Тот же срез за другой период.

• Отсутствие имени хоста — может быть свойствои выгрузки и периода, а не свойством сервиса.
• Захват пакетов — крайняя мера. Применима, когда одновременно есть явный повод для разбора узла и вывод без полезной нагрузки недостижим.

• unknown_discovering — общий метод, наборы, DSL
• udp_unknown - quic, это расспознанный udp