Open-flow è un approccio ai dati di flusso basato su formati di telemetria di rete aperti o ampiamente supportati. Anziché acquisire il contenuto completo dei pacchetti, registra riepiloghi delle comunicazioni come sorgente e destinazione, porte, temporizzazione, conteggi dei byte e dettagli del protocollo. Poiché il formato è ampiamente supportato, i difensori possono raccogliere dati da router, switch, sensori e piattaforme diversi senza vincolarsi alla pipeline proprietaria di un singolo fornitore.
Nella sicurezza informatica, open-flow è importante perché i record di flusso sono leggeri e utili su larga scala. Aiutano i team a individuare scansioni, movimenti laterali insoliti, esfiltrazione di dati e traffico di comando e controllo, soprattutto quando la cattura completa dei pacchetti è troppo costosa o produce troppo rumore. Nelle difese reali, i dati open-flow alimentano SIEM, flussi di threat hunting e sistemi di rilevamento delle anomalie. Negli attacchi, i difensori possono farvi affidamento per notare connessioni sospette anche quando i payload sono cifrati o non disponibili. Il principale compromesso è il livello di dettaglio: è eccellente per la visibilità e la definizione di baseline, ma non sostituisce l'ispezione completa dei pacchetti quando è necessaria un'analisi approfondita del contenuto.