mcpField
A
analyzing-network-flow-data-with-netflow

analyzing-network-flow-data-with-netflow

github.com/mukul975安全35.2k374 次安装8 周前更新
代码仓库

关于 analyzing-network-flow-data-with-netflow

这是面向 SOC 分析人员的 NetFlow 网络流量分析技能指南，介绍采集和解析流数据，并据此寻找扫描、外传、C2 信标及流量异常。

主要功能

  1. 01采集 NetFlow/IPFIX 数据
  2. 02解析 NetFlow 数据包
  3. 03检测端口扫描模式
  4. 04查找数据外传与 C2 信标
  5. 05生成优先级分析报告

适用场景

  1. 01调查网络安全事件
  2. 02搜寻可疑流量模式
  3. 03验证安全监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-network-flow-data-with-netflow

安装后在 Claude Code 中输入/analyzing-network-flow-data-with-netflow确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 Netflow 分析网络流量数据

适用场景

  • 调查需要使用 netflow 分析网络流量数据的安全事件
  • 为此领域构建检测规则或威胁狩猎查询
  • SOC 分析师需要此类分析的结构化流程
  • 验证针对相关攻击技术的安全监控覆盖情况

前提条件

  • 熟悉网络安全概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖项的 Python 3.8+
  • 获得任何测试活动所需的适当授权

说明

  1. 安装依赖项：pip install netflow
  2. 从路由器收集 NetFlow/IPFIX 数据，或使用内置采集器：python -m netflow.collector -p 9995
  3. 使用 netflow.parse_packet() 解析捕获的流量数据。
  4. 分析流量，查找：
    • 端口扫描：单个源向多个目标发送相同端口的流量
    • 数据渗出：流向异常目标的出站流量具有较高字节数
    • C2 信标通信：以固定间隔定期建立连接
    • 流量总量异常：流量峰值超过基线阈值
  5. 生成按优先级排序的发现报告。
python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json

示例

解析 NetFlow v9 数据包
import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
    print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)

评论

支持 Markdown