关于 implementing-network-traffic-baselining
用于安全团队分析 NetFlow/IPFIX 历史流量并建立通信基线的技能。它通过统计分布和异常检测识别偏离正常模式的流量。
主要功能
- 01计算小时与每日流量分布
- 02构建逐主机统计基线
- 03分析协议与端口分布
- 04使用 z-score 和 IQR 检测异常
- 05生成含异常告警的 JSON 报告
适用场景
- 01发现异常数据外传流量峰值
- 02识别周期性信标通信
- 03调查不寻常的端口使用
- 04建立网络流量安全基线
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/implementing-network-traffic-baselining确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
实施网络流量基线分析
概述
网络流量基线分析通过分析历史 NetFlow/IPFIX 数据来建立正常通信模式，以创建预期行为的统计画像。本技能使用 Python pandas 计算每小时和每日流量分布、每主机字节/数据包计数、协议比例以及 top-N 通信方画像。使用 z-score 阈值和 IQR（四分位距）离群值方法检测异常，使 SOC 分析师能够识别数据外泄峰值、信标模式和异常端口使用等偏差。
何时使用
- 在环境中部署或配置实施网络流量基线分析能力时
- 在建立符合合规要求的安全控制时
- 在为此领域构建或改进安全架构时
- 在开展需要此实施的安全评估时
先决条件
- 导出为 CSV 或 JSON 的 NetFlow v5/v9 或 IPFIX 流数据
- 带有 pandas 和 numpy 库的 Python 3.8+
- 历史流数据（建议至少 7 天以建立基线）
步骤
- 从 CSV 或 JSON 导出文件摄取 NetFlow/IPFIX 记录
- 计算每小时和每日流量分布（字节、数据包、流）
- 构建每源 IP 基线画像，包含均值、中位数、标准差
- 计算协议和端口分布基线
- 应用 z-score 异常检测以识别统计离群值
- 将超过基于 IQR 阈值的流标记为潜在异常
- 生成包含异常警报的基线报告
预期输出
包含流量基线（每小时/每日画像）、每主机统计、带有 z-score 的检测异常，以及带有偏差指标的 top 通信方排名的 JSON 报告。
评论
支持 Markdown