Was macht Analyse von Netzwerkflussdaten mit NetFlow?
Wann verwenden
- Bei der Untersuchung von Sicherheitsvorfällen, die eine Analyse von Netzwerkflussdaten mit NetFlow erfordern
- Bei der Erstellung von Erkennungsregeln oder Bedrohungsjagdabfragen für diesen Bereich
- Wenn SOC-Analysten strukturierte Verfahren für diese Analyseart benötigen
- Bei der Validierung der Sicherheitsmonitoring-Abdeckung für verwandte Angriffstechniken
Voraussetzungen
- Vertrautheit mit Netzwerksicherheitskonzepten und -werkzeugen
- Zugriff auf eine Test- oder Laborumgebung für die sichere Ausführung
- Python 3.8+ mit installierten erforderlichen Abhängigkeiten
- Entsprechende Autorisierung für Testaktivitäten
Anleitung
- Abhängigkeiten installieren:
pip install netflow
- NetFlow/IPFIX-Daten von Routern sammeln oder den integrierten Collector verwenden:
python -m netflow.collector -p 9995
- Erfasste Flussdaten mit
netflow.parse_packet() parsen.
- Flüsse analysieren auf:
- Port-Scanning: einzelne Quelle zu vielen Zielen auf demselben Port
- Datenerfiltration: ausgehende Flüsse mit hoher Byte-Anzahl zu ungewöhnlichen Zielen
- C2-Beaconing: periodische Verbindungen mit konsistenten Intervallen
- Volumetrische Anomalien: Verkehrsspitzen über den Basisschwellenwerten
- Einen priorisierten Ergebnisbericht erstellen.
python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json
Beispiele
NetFlow v9-Paket parsen
import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)