这是整个语料库的当前范围的未过滤摘要时间序列数据。此组件的目的是让您了解正在查看的日期范围，并通过在组件内拖动来轻松更改日期范围。图表中的数据可用于确定选择哪个时间范围。您可以选择要显示的不同指标，默认情况下会显示流观察结果的计数。

语料库选择器目前最多可以支持选择大约 20 亿个流观察结果。

在这里，您可以定义过滤器以缩小搜索结果的范围。点击所有可能维度的过滤器 (Filters) 一词旁边的 (?) 图标。对于任何用户标签数据，这些列也将在适当的时间间隔内可用。此输入还支持 and、or、not 和括号关键字，使用这些关键字表示更复杂的过滤器。例如，IP 1.1.1.1 和 2.2.2.2 之间的方向无关过滤器可以写作：

Consumer Address = 1.1.1.1 and Provider Address = 2.2.2.2 or Consumer Address = 2.2.2.2 and Provider Address = 1.1.1.1

And to additionally filter on Protocol = TCP:

(Consumer Address = 1.1.1.1 and Provider Address = 2.2.2.2 or Consumer Address = 2.2.2.2 and Provider Address = 1.1.1.1) and Protocol = TCP

通过将“-”转换为范围查询，过滤器输入还支持将“、”和“-”用于端口、使用者地址和提供者地址。以下是有效过滤器的示例：

Note	由于流数据仅在注入时才会使用用户标签进行标记，因此用户标签在启用后不会立即显示。标签可能需要几分钟才会开始显示在“流搜索”中。此外，可用的用户标签会有所不同，具体取决于您选择的语料库选择器的哪个部分，因为启用的标签可能已在不同时间更改。

此组件显示所选间隔（在上述语料库选择器中做出的选择）内各种指标的汇总总计。使用下拉列表更改显示的指标。

也可以在此组件中进一步缩小所选间隔。点击图表中您要关注的区域，“前 N 个”(Top N) 图表和下面的数据都将更新为仅包含该所选时间间隔内的数据。

图表显示了左侧已过滤时序图表中的前 N 个值。在时序图表中选择“流观察结果”(Flow Observations) 中的一个峰值，并在“前 N 个”(Top N) 图表中选择主机名，可显示对这些流观察结果影响最大的主机名（使用者和提供者）列表。此外，如果时间序列图表设置为显示 SRTT，则“排名靠前的主机名”(Top Hostnames) 会显示对该所选 SRTT 影响最大的主机名。

点击“前 N 个”(Top N) 图表中的任何项目，以显示一个菜单，允许您 向下钻取或排除该值。

• 点击向下钻取 (Drill-Down) 以添加将结果限制为仅包含该值的过滤器。

• 点击排除 (Exclude) 以添加从结果中排除该值的过滤器。

Note	点击向下钻取 (Drill-Down) 或排除 (Exclude) 后，必须按下过滤器 (Filter) 图标才能使过滤器生效。这样可以快速执行多个排除操作，而不会在中间重复更新页面。

这是与以上页面中的过滤器和选择相匹配的实际流观察结果的列表。默认情况下，将从间隔开始时加载 20。可以使用下拉菜单增加加载的数量。还可以使用采样 (Sampled) 而不是按顺序 (In order) 从所选间隔加载随机的流观察结果集。采样 (Sampled) 设置可用于从所选间隔获取更具代表性的流观察结果集，而不是从间隔开始按顺序加载它们。

点击探索观察结果 (Explore Observations) 结果，启用允许快速浏览高维数据的图表视图（平行坐标 (Parallel Coordinates) 图表）。起初，此图表有点难以理解，但在仅启用您感兴趣的维度（通过取消选中维度 (Dimensions) 下拉列表中的项目）以及重新排列维度的顺序时，此图表非常有用。此图表中的单条线表示单个观察结果，该线与各个轴相交的位置表示该观察结果对于该维度的值。将鼠标悬停在图表下方的观察结果列表上，查看图表中表示该观察结果的突出显示线时，这一点会变得更清楚：

由于流数据的高维特性，此图表默认情况下很宽，需要向右滚动才能看到整个图表。因此，禁用除您感兴趣的维度之外的所有维度将非常有用。

采样与按顺序

建议在启用采样和更多流的情况下完成探索观察结果。这样，您就可以查看构成所选间隔的更多各种流。因此，如果您在上面的时间序列图表中选择了 200 万个流观察结果，则在整个间隔内均匀加载 1000 个流观察结果，而按顺序加载流将从最开始处加载前 1000 个流观察结果间隔：

请注意，所有按顺序观察的时间戳如何从 9:09 开始，以及观察结果如何均匀分布在采样版本中的选定间隔内。

过滤

沿任意坐标轴拖动光标可创建一个选区，只显示与该选区匹配的观察结果。再次点击轴可随时删除选择。一次可以在任意数量的轴上进行选择。观察结果列表将更新，以便仅显示所选观察结果：

流方向（客户端/服务器或提供者/使用者分类）对于可视性、自动策略发现和执行非常重要。每个单播流都有一个客户端和一个服务器分类。

例如，如果有客户端 (192.168.1.1-192.168.1.3) 使用 https 访问网络服务器 (192.168.2.1)，通常源端口是 1025-65535 范围内的短暂端口，目标端口是 443。

准确的客户端-服务器方向为：

• 客户端：192.168.1.1-3

• 服务器：192.168.2.1

• 服务：TCP 端口 443

自动发现策略生成的策略如图所示（左侧终端已分组）：

现在，如果客户端-服务器方向决策相反（分类不准确），即：

• 客户端：192.168.2.1

• 服务器：192.168.1.1-3

• 服务：临时端口列表（45680、51112、45553）

那么，在上述不准确的分类中，生成的策略可能如图所示：

这会在策略执行方面消耗更多资源。此外，根据执行策略的方式，即使 192.168.1.1-3 使用这些临时端口，它们也无法访问 192.168.2.1。例如，如果使用 Cisco Secure Workload 软件传感器执行，则客户端到 Web 的执行策略 (ESTAB) 不会与客户端生成的发往 Web 的流量（NEW、ESTAB）不匹配。

Cisco Secure Workload 中使用时间戳和 TCP 标志来确定客户端-服务器方向。如果没有 TCP 标志信息（SYN、SYN/ACK），例如，数据包可能是 UDP/ICMP，或者使用的硬件传感器不支持方向信号，那么就会使用用户定义的覆盖规则、时间戳和其他启发式方法来推断流量方向。根据定义，启发式方法无法保证 100% 准确。客户端-服务器的准确度取决于所用传感器的类型和使用传感器的条件。您可以使用 Cisco Secure Workload 的 REST-API (OpenAPI) 插入客户端-服务器覆盖规则，以便为 Cisco Secure Workload 获取错误方向的流类型识别服务器端口。然后，允许 Cisco Secure Workload 处理使用这些规则捕获的新流数据，然后在固定流方向的持续时间内生成策略。有关用于指定覆盖规则的 API 的更多详细信息，请参阅：客户端服务器配置。您还可以手动定义策略并检查/删除不需要的策略。请参阅策略。

Cisco Secure Workload 支持以下流分析精确度模式：

• 详细模式：过去，详细模式是唯一可用的模式，其中代理会报告观察到的每个流以及有关观察到的流的详细统计信息。捕获的统计信息包括数据包和字节计数、TCP 标志、连接统计信息、网络延迟、SRTT 等。虽然这种报告在很多情况下都是可取的，但报告和处理的计算量很大，而且，如果主要使用案例只是分段，可能并不会严格要求使用这种报告。

• 对话模式：对话模式提供了比传统详细模式更轻量级的替代方案。处于对话模式的代理旨在尽可能报告对话而不是流（即只要它们能够准确地进行客户端-服务器分类）。这适用于 TCP、UDP 和 ICMP 流。

在详细模式下，对于 TCP/UDP 流，我们报告五元组流 {源和目标 IP、源和目标端口以及协议}。而对于对话模式，代理会省略源端口，因为它们是临时端口 {每次新连接时都会更改}，使其成为四元组流。

Note	将流检测为 4 元组还取决于客户端-服务器检测算法，而该算法依赖于服务器/目标端口是否为公认端口 (0-1023)。

因此，如果您使用的自定义应用不使用已知服务器/目标端口，则可以使用 OpenAPI 接口提取已知服务器端口。这些配置不会应用于过去的流，只会影响从该点开始（即，向前）的流上的标记。要优化服务器端口，请参阅客户端服务器配置。

对话模式下的代理报告包含精简信息，而省略字段的完整列表包括：

• TCP/UDP 源端口（临时端口）

• 正向/反向 TCP 瓶颈

• TCP 握手存储桶

• SRTT(µs)

• 正向/反向数据包重新传输

• SRTT 可用

• 正向/反向拥塞窗口已缩小

• 正向/反向 MSS 已更改

• 正向/反向 TCP 接收窗口为零？正向/反向突发指示符

• 正向/反向最大突发大小 (KB)

要启用对话模式，请参阅软件代理配置中的“流可视性”配置部分

Note	由于多种因素的影响，包括但不限于 TCP 流的百分比、在已知服务端口上侦听的服务数量以及代理的内存限制，因此将代理更改为以对话模式报告所能获得的确切收益可能会有所不同。

Note	为某些代理打开会话模式后，流搜索页面的观察结果中可能会混合出现会话和流。