O que Análise de Dados de Fluxo de Rede com NetFlow faz?
Quando Usar
- Ao investigar incidentes de segurança que exigem análise de dados de fluxo de rede com NetFlow
- Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
- Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
- Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas
Pré-requisitos
- Familiaridade com conceitos e ferramentas de segurança de rede
- Acesso a um ambiente de teste ou laboratório para execução segura
- Python 3.8+ com as dependências necessárias instaladas
- Autorização apropriada para quaisquer atividades de teste
Instruções
- Instale as dependências:
pip install netflow
- Colete dados NetFlow/IPFIX de roteadores ou use o coletor embutido:
python -m netflow.collector -p 9995
- Analise os dados de fluxo capturados usando
netflow.parse_packet().
- Analise os fluxos para:
- Varredura de portas: única origem para muitos destinos na mesma porta
- Exfiltração de dados: fluxos de saída com alta contagem de bytes para destinos incomuns
- Comunicação C2: conexões periódicas com intervalos consistentes
- Anomalias volumétricas: picos de tráfego além dos limites da linha de base
- Gere um relatório de achados priorizado.
python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json
Exemplos
Analisar Pacote NetFlow v9
import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)