Analisando Dados de Fluxo de Rede com Netflow

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de dados de fluxo de rede com Netflow
• Ao criar regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de segurança de rede
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

1. Instale as dependências: pip install netflow
2. Colete dados NetFlow/IPFIX de roteadores ou use o coletor integrado: python -m netflow.collector -p 9995
3. Analise os dados de fluxo capturados usando netflow.parse_packet().
4. Analise os fluxos para:
   • Varredura de porta: origem única para muitos destinos na mesma porta
   • Exfiltração de dados: fluxos de saída com alta contagem de bytes para destinos incomuns
   • Beaconing de C2: conexões periódicas com intervalos consistentes
   • Anomalias volumétricas: picos de tráfego além dos limites de linha de base
5. Gere um relatório de descobertas priorizadas.

python scripts/agent.py --flow-file captured_flows.json --output netflow_report.json

Exemplos

Analisar Pacote NetFlow v9

import netflow
data, _ = netflow.parse_packet(raw_bytes, templates={})
for flow in data.flows:
    print(flow.IPV4_SRC_ADDR, flow.IPV4_DST_ADDR, flow.IN_BYTES)