análisis-de-datos-de-flujo-de-red-con-netflow

Análisis de Datos de Flujo de Red con Netflow

Cuándo Usarlo

• Cuando se investigan incidentes de seguridad que requieren analizar datos de flujo de red con netflow
• Cuando se construyen reglas de detección o consultas de búsqueda de amenazas para este dominio
• Cuando los analistas SOC necesitan procedimientos estructurados para este tipo de análisis
• Cuando se valida la cobertura de monitoreo de seguridad para técnicas de ataque relacionadas

Prerrequisitos

• Familiaridad con conceptos y herramientas de seguridad de red
• Acceso a un entorno de prueba o laboratorio para ejecución segura
• Python 3.8+ con las dependencias requeridas instaladas
• Autorización adecuada para cualquier actividad de prueba

Instrucciones

1. Instalar dependencias: pip install netflow
2. Recolectar datos NetFlow/IPFIX de routers o usar el recolector integrado: python -m netflow.collector -p 9995
3. Analizar los datos de flujo capturados usando netflow.parse_packet().
4. Analizar flujos para detectar:
   • Escaneo de puertos: un solo origen hacia muchos destinos en el mismo puerto
   • Exfiltración de datos: flujos salientes con alto conteo de bytes hacia destinos inusuales
   • Beaconing de C2: conexiones periódicas con intervalos consistentes
   • Anomalías volumétricas: picos de tráfico más allá de los umbrales de referencia
5. Generar un informe de hallazgos priorizados.

python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json

Ejemplos

Analizar un Paquete NetFlow v9

import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
    print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)