Que fait Analyse des données de flux réseau avec NetFlow ?
Quand l'utiliser
- Lors de l'investigation d'incidents de sécurité nécessitant l'analyse de données de flux réseau avec NetFlow
- Lors de la création de règles de détection ou de requêtes de chasse aux menaces dans ce domaine
- Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
- Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées
Prérequis
- Familiarité avec les concepts et outils de sécurité réseau
- Accès à un environnement de test ou de laboratoire pour une exécution sécurisée
- Python 3.8+ avec les dépendances requises installées
- Autorisation appropriée pour toute activité de test
Instructions
- Installer les dépendances :
pip install netflow
- Collecter les données NetFlow/IPFIX depuis les routeurs ou utiliser le collecteur intégré :
python -m netflow.collector -p 9995
- Analyser les données de flux capturées à l'aide de
netflow.parse_packet().
- Analyser les flux pour détecter :
- Le balayage de ports : une seule source vers de nombreuses destinations sur le même port
- L'exfiltration de données : flux sortants à haut volume d'octets vers des destinations inhabituelles
- Le beaconing C2 : connexions périodiques avec des intervalles constants
- Les anomalies volumétriques : pics de trafic au-delà des seuils de référence
- Générer un rapport de résultats priorisés.
python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json
Exemples
Analyser un paquet NetFlow v9
import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)