WinNetFlow

WinNetFlow は Windows Event Tracing（ETW）で Microsoft-Windows-TCPIP Provider の TCP/UDP イベントを監視し、プロセス別のレイヤー 4 トラフィック（バイト、パケット、再送、RTT、TCP 状態）を集計します。主要フィールドと端点の役割は Linux の ebpf-net/netflow と互換で、src/dst、client/server、conn_side、トラフィックフィールドを使うホストネットワーク画面を再利用できます。

Microsoft-Windows-HttpService Provider から HTTP 要求メトリクス（httpflow、既定で有効）も収集します。IIS、HttpListener、ASP.NET Core など HTTP.sys ベースのサービスを対象とし、Linux の ebpf-net/httpflow とフィールド互換です。

設定¶

前提条件¶

• OS：Windows 10 / Windows Server 2016 以降（64 ビット）
• 管理者権限で実行してください（リアルタイム ETW セッション作成に必要）
• eBPF コレクターとは独立して有効にできます。同一ホストではどちらか一方のみ有効になります

[[inputs.winnetflow]]
  # Flow aggregation and report interval.
  interval = "60s"

  # Optional ETW session tuning. Buffer size is in KB; unsafe values are
  # clamped to documented limits and a 256 MiB per-session memory budget.
  # etw_buffer_size_kb = 64
  # etw_min_buffers    = 8
  # etw_max_buffers    = 256

  # Max flows tracked per interval; excess new flows are dropped and counted.
  # max_flows = 65536

  # Collect L7 HTTP request metrics from the HTTP.sys ETW provider (IIS,
  # HttpListener and other HTTP.sys clients) as the "httpflow" measurement.
  # enable_httpflow = true
  # Max in-flight HTTP requests tracked; excess new requests are dropped and
  # counted in the periodic summary.
  # max_http_requests = 65536
  # Max request path length collected; longer paths are truncated and flagged.
  # httpflow_path_limit = 256

  [inputs.winnetflow.tags]
  # some_tag = "some_value"

メトリクス¶

以下のデータにはグローバル tag host（DataKit ホスト名）を既定で付加します。[inputs.winnetflow.tags] で他の tag も指定できます：

 [inputs.winnetflow.tags]
  # some_tag = "some_value"
  # more_tag = "some_other_value"
  # ...

既知の制限¶

• TCP 送信イベントにパケット数がないため、TCP の packets_written は常に 0 です。UDP はメッセージ数で近似します。
• UDP には接続の概念がありません。非一時ポートにバインドしたソケットから推定し、待受ポートに一致すれば incoming、それ以外は outgoing とします。
• 収集開始前の TCP 接続はローカル待受ポートのスナップショットで判定し、一致なら incoming、それ以外は outgoing とします。スナップショットは 30 秒ごとに更新します。
• Windows ETW はネットワーク名前空間、Kubernetes 端点情報、DNS、NAT 情報を提供しません。dst_nat_ip と dst_nat_port は N/A 固定です。必要な Kubernetes/名前空間 tag は別途グローバル tag で補足してください。
• 高トラフィックでは ETW イベントが失われる場合があります。10 分ごとにセッション統計（デコード、破棄、解析エラー、セッション損失）を出力し、異常時は警告ログを記録します。
• 周期ごとのフロー数は制限されます（既定 65536、max_flows）。接続急増時の超過フローは破棄し、flows_skipped に計上します。
• httpflow は HTTP.sys 経由の HTTP のみ対象です（IIS/HttpListener/ASP.NET Core など）。一部の Go/Node など独自ソケットのサービスは収集しません。
• HTTP.sys イベントには HTTP バージョンと要求本文サイズがありません。http_version は空、bytes_read は 0 固定で、bytes_written はキャッシュ応答（event 16）のみ取得できます。
• HTTP プロセスの特定はベストエフォートです。接続イベントの PID はクライアントのため無視し、HTTP.sys 応答時にサーバー PID を解決します。名前取得前に終了した場合、process_name が unknown になることがあります。
• 同時 HTTP 要求数には上限があります（既定 65536、max_http_requests）。超過分は破棄し周期ログに計上します。機密情報の漏えいと無制限のカーディナリティを防ぐため URL クエリは収集しません。パスが httpflow_path_limit（既定 256）を超えると切り詰め、truncated を設定します。