I registri dei flussi di rete sono registrazioni che riassumono le connessioni di rete e riportano in genere gli indirizzi di origine e di destinazione, le porte, il protocollo, il volume del traffico e gli orari. A differenza delle acquisizioni di pacchetti, generalmente non registrano il contenuto completo delle comunicazioni di rete.
Durante un incidente, i difensori utilizzano i registri dei flussi di rete per individuare schemi di traffico insoliti, ricostruire le comunicazioni tra endpoint e valutare quando e dove si è verificato un picco. In caso di sospetto attacco DDoS, possono aiutare a mostrare il volume e la direzione del traffico, ma i soli riepiloghi potrebbero non rivelare il metodo esatto dell’attacco né chi controllava i sistemi da cui proveniva il traffico. Gli investigatori combinano i registri dei flussi di rete con altri dati di telemetria e considerano le origini di rete osservate come indizi, non come prove di attribuzione.