Palo Alto Networks продолжает улучшать свой функционал в области отчетности на базе NetFlow, включив элемент Firewall Event в PAN-OS 5.0. Это новое поле предоставляет дополнительные преимущества администраторам файервола.
Способность отслеживать, например, удаленные, созданные или отклоненные потоки, позволяет сравнивать данные с базовыми показателями и определять, как файервол нового поколения защищает трафик. Если будет обнаружен ненормальный всплеск или падение объема трафика, администраторы могут проанализировать данные дальше, чтобы выяснить, какие машины были задействованы и какие приложения были использованы в то время. Эти данные могут быть объединены с информацией других файерволов с тем, чтобы получить более объемный взгляд на "поведение" корпоративного Интернета.
Администраторы могут использовать вышеуказанный отчет и для установки пороговых значений по объемам, неприемлемых для определенных событий. Если хост коммуницирует таким образом, что нарушает это пороговое значение, соответствующее правило может вызвать событие, которое сгенерирует сообщение о проблеме.
Администраторы могут также использовать возможность отчетности на базе NetFlow для фильтрации при коммуникациях с определенными хостами, которые могут иметь проблемы при работе через файервол нового поколения. Они могут использовать отчет  "Events" для того, чтобы понять, что такого специфичного есть в трафике конечных систем, что вызывает событие "Flow Denied".
Конфигурация файервола Palo Alto Networks для экспорта NetFlow довольно несложный процесс и результат при этом получается очень хороший. Вот некоторые ключевые возможности:

• Отслеживание приложений. Файервол использует DPI (Deep Packet Inspection, глубокая инспекция пакетов) для идентификации и выделения приложений, которые совместно используют порты, такие как TCP 80.
• Имена пользователей. Если пользователи проходят аутентификацию с помощью Active Directory или LDAP, то файервол привязывает имена пользователей к потокам. Это значительно облегчает разрешение проблем при анализе трафика.
• Трансляция сетевых адресов. Это позволяет существенно экономить время при попытке определить, каким был IP-адрес внутри сети до того, как он был изменен (NAT) на файерволе.
• События файервола. Преимущества нового параметра описаны выше.
• Корреляция Syslog и NetFlow. Логи сообщений, которые экспортируются файерволом, могут быть отформатированы в IPFIX и добавлены к данным NetFlow для более быстрого обнаружения потенциальных атак.