analyzing-network-flow-data-with-netflow

用途：解析 NetFlow v9 与 IPFIX 记录，识别端口扫描、数据外泄、C2 信标（周期性连接）和流量基线异常。安装依赖：pip install netflow。采集方式：从路由器收集数据，或使用内置采集器 python -m netflow.collector -p 9995；随后用 netflow.parse_packet() 解析捕获的流量数据。可分析模式包括：单源对多目标同端口的端口扫描；高字节数出站到异常目标的数据外泄；间隔一致的周期性连接即 C2 信标；超出基线阈值的流量峰值。最终生成按优先级排序的发现报告，运行 python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json。解析示例：import netflow; data, _ = netflow.parse_packet(raw_bytes, templates={}); 遍历 data.flows 读取 IPV4_SRC_ADDR、IPV4_DST_ADDR、IN_BYTES 等字段。适用场景为网络流量安全分析与异常排查。限制：资料未提供具体检测阈值、模板管理方式、部署要求及性能指标，需自行评估环境。