用途
本技能用于在安全事件调查中分析网络流数据，辅助构建针对特定领域的检测规则或威胁狩猎查询，为 SOC 分析师提供该类型分析的结构化流程，并可用于验证相关攻击技术的安全监控覆盖情况。
主要能力
该技能解析 NetFlow v9 和 IPFIX 记录，用于检测以下模式：
- 流量型异常（volumetric anomalies）：超出基线阈值的流量峰值
- 端口扫描（port scanning）：单一源对同一端口上多个目标的访问
- 数据外泄（data exfiltration）：发往异常目的地的高字节数出站流量
- C2 信标（C2 beaconing）：具有一致间隔的周期性连接
分析完成后可生成按优先级排序的发现报告。
使用方式
前置条件：
- 熟悉网络安全概念和工具
- 拥有可用于安全执行的测试或实验环境
- Python 3.8+ 并安装所需依赖
- 进行任何测试活动均需具备适当授权
操作步骤：
- 安装依赖：
pip install netflow - 从路由器采集 NetFlow/IPFIX 数据，或使用内置采集器：
python -m netflow.collector -p 9995 - 使用
netflow.parse_packet()解析捕获的流数据 - 按上述四类模式分析流记录
- 生成按优先级排序的发现报告
- 运行脚本：
python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json
示例代码：
import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)
适用场景
- 需要分析网络流数据的安全事件调查
- 为相关领域构建检测规则或威胁狩猎查询
- SOC 分析师需要结构化分析流程时
- 验证针对相关攻击技术的安全监控覆盖情况
限制
资料中未提供关于收费、价格、平台支持范围或实际检测效果的说明；使用前需自行确认授权、测试环境和依赖版本。