implementing-network-traffic-baselining について
NetFlow/IPFIX の履歴を分析し、通信の基準値を作成するセキュリティチーム向けスキルです。統計分布と外れ値検出で、通常と異なるトラフィックを特定します。
主な機能
- 01時間別・日別のトラフィック分布計算
- 02ホストごとの統計プロファイル作成
- 03プロトコルとポートの分布分析
- 04z-score と IQR による外れ値検出
- 05異常アラートを含む JSON レポート生成
活用シーン
- 01データ流出を示すトラフィック急増の検出
- 02ビーコン通信パターンの特定
- 03通常と異なるポート使用の調査
- 04ネットワークトラフィックの基準値作成
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/implementing-network-traffic-baseliningを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
ネットワークトラフィックベースラインの実装
概要
ネットワークトラフィックのベースライン化は、過去の NetFlow/IPFIX データを分析して期待される動作の統計的プロファイルを作成し、通常の通信パターンを確立します。このスキルは Python の pandas を使用して、時間別および日別のトラフィック分布、ホストごとのバイト数/パケット数、プロトコル比率、上位 N 件のトーカープロファイルを計算します。異常は z スコアのしきい値と IQR（四分位範囲）による外れ値検出手法を使って検出され、SOC アナリストがデータ流出の急増、ビーコン通信のパターン、通常と異なるポートの使用などの逸脱を特定できるようにします。
使用するタイミング
- 環境において、ネットワークトラフィックベースラインの実装機能をデプロイまたは構成するとき
- コンプライアンス要件に沿ったセキュリティ統制を確立するとき
- この分野のセキュリティアーキテクチャを構築または改善するとき
- この実装が必要なセキュリティ評価を実施するとき
前提条件
- CSV または JSON としてエクスポートされた NetFlow v5/v9 または IPFIX のフローデータ
- pandas および numpy ライブラリを備えた Python 3.8 以上
- 過去のフローデータ（ベースラインには最低 7 日分を推奨）
手順
- CSV または JSON エクスポートから NetFlow/IPFIX レコードを取り込む
- 時間別および日別のトラフィック量分布（バイト数、パケット数、フロー数）を計算する
- 平均、中央値、標準偏差を用いて送信元 IP ごとのベースラインプロファイルを構築する
- プロトコルおよびポート分布のベースラインを計算する
- z スコアによる異常検出を適用して統計的な外れ値を特定する
- IQR に基づくしきい値を超えるフローを潜在的な異常としてフラグ付けする
- 異常アラートを含むベースラインレポートを生成する
期待される出力
トラフィックベースライン（時間別/日別プロファイル）、ホストごとの統計、z スコア付きの検出された異常、逸脱インジケーター付きの上位トーカーランキングを含む JSON レポート。
コメント
Markdown 対応